Los líderes de TI saben cómo funciona esto: los reguladores y las compañías de seguros cibernéticos exigen pruebas periódicas de penetración en la red para mantener alejados a los malos. Pero lo cierto es que los piratas informáticos no esperan a que se cumplan los plazos establecidos.
La mayoría de las empresas abordan las pruebas de penetración de la red según un cronograma establecido, siendo la frecuencia más común dos veces al año (29 %), seguida de tres o cuatro veces al año (23 %) y una vez al año (20 %), según el Informe de la encuesta de ciberseguridad de Kaseya 2024. Las pruebas centradas en el cumplimiento pueden detectar vulnerabilidades que existen en el momento exacto de la prueba, pero no son suficientes para adelantarse a los atacantes de manera significativa.
Por qué tiene sentido realizar pruebas más frecuentes
Cuando las empresas realizan pruebas con mayor frecuencia, no solo están marcando una casilla de cumplimiento, sino que en realidad están protegiendo sus redes. La encuesta de Kaseya también señala que los principales factores que impulsan las pruebas de penetración de redes son:
- Control y validación de ciberseguridad (34%) : garantizar que los controles de seguridad funcionen y se minimicen las vulnerabilidades.
- Cumplimiento normativo (19%) : mantenerse al día con los estándares de la industria.
- Requisitos de seguro cibernético (15 %) : satisfacer las demandas de cobertura de las aseguradoras.
Sin embargo, el costo de las pruebas tradicionales, dirigidas por consultores, hace que sea difícil realizarlas con frecuencia. Pero aquí están las buenas noticias: las pruebas de penetración de red automatizadas pueden reducir los costos en más del 60 % en comparación con el método tradicional. Ahora estamos hablando de pruebas frecuentes y proactivas que realmente son factibles.
El dolor de las pruebas tradicionales: tiempo, costo e informes obsoletos
Las pruebas de penetración de red tradicionales implican contratar consultores que dependen de procesos manuales y herramientas especializadas. Esto no solo es costoso, sino que también hay que lidiar con sus horarios, lo que puede convertir una prueba en un proceso que dure un mes, de principio a fin. Para cuando se realiza el informe, es posible que la red ya haya cambiado o que hayan surgido nuevas vulnerabilidades, por lo que no se puede obtener información en «tiempo real».
Dada la rapidez con la que evolucionan las redes y la rapidez con la que surgen nuevas vulnerabilidades, las pruebas habituales centradas en el cumplimiento normativo simplemente no pueden seguir el ritmo. Las empresas quieren pruebas más frecuentes, pero necesitan una solución que no agote sus presupuestos ni se estanque en una programación interminable.
Pruebas automatizadas: más rápidas, asequibles y siempre listas
Las pruebas de penetración de red automatizadas son la respuesta a los problemas de tiempo y costos. Cubren todos los requisitos normativos y de seguros, brindan resultados en cuestión de días (no semanas) y se pueden realizar cuando sea necesario. Sin esperas ni malabarismos con los horarios.
Piénselo de esta manera: puede ejecutar una prueba hoy si la necesita hoy. Ahora que la automatización reduce los costos en más del 60%, la mayoría de las empresas pueden realizar pruebas con frecuencia.
Las pruebas automatizadas frecuentes permiten a las empresas actuar rápidamente ante problemas en tiempo real en lugar de quedarse estancadas en un limbo de programación. Esto permite disponer de tiempo para probar y mejorar los controles de seguridad en lugar de tener que gestionar las relaciones con los consultores. Las pruebas mensuales permiten detectar y solucionar las debilidades antes de que los atacantes tengan la oportunidad de hacerlo.
Conclusión: una mentalidad de seguridad durante todo el año
Intentar mantenerse al día con las amenazas cibernéticas actuales con una prueba anual es como intentar ganar una carrera en triciclo. El panorama de amenazas cambia constantemente; solo el año pasado, surgieron nuevas vulnerabilidades casi dos veces por semana. Las pruebas frecuentes hacen que la seguridad de la red pase de ser una casilla de verificación de cumplimiento a una estrategia de defensa real.
Fuente y redacción: thehackernews.com
