«Lo sabías y podrías haber actuado. ¿Por qué no lo hiciste?»
Esta es la pregunta que no quieres que te hagan. Y cada vez más, es la pregunta que los líderes se ven obligados a responder después de un incidente.
Durante años, muchos equipos ejecutivos y juntas directivas han tratado una gran acumulación de vulnerabilidades como una realidad incómoda pero tolerable: «hemos aceptado el riesgo». Si alguna vez ha visto un informe que muestra miles (o decenas de miles) de CVE máximos y críticos abiertos, probablemente también haya escuchado las racionalizaciones habituales de personas que preferirían mirar para otro lado: tenemos otras prioridades, Esto llevará años de tiempo de ingeniería para solucionarlo., ¿Cómo sabes que estos son realmente críticos? Todavía estamos priorizando, llegaremos a eso.
En el viejo mundo, esa historia, si bien no era buena, a menudo era posible sobrevivir. La explotación era más lenta, más manual y requería más habilidad del operador. Incluso los atacantes más sofisticados tenían limitaciones. Las organizaciones se apoyaron en esas limitaciones como una parte tácita del modelo de riesgo: «Si fuera realmente tan malo como usted dice, estaríamos comprometidos ahora mismo».
Ese mundo se ha ido.
La IA ha colapsado el coste de explotación
Ahora estamos observando a los actores de amenazas utilizar sistemas de IA agentes para acelerar todo el flujo de trabajo ofensivo: reconocimiento, descubrimiento de vulnerabilidades, desarrollo de exploits y ritmo operativo. antrópico detallado públicamente interrumpiendo una campaña de ciberespionaje en la que los atacantes utilizaron a Claude de maneras que aumentaron materialmente su velocidad y escala, y advirtieron explícitamente que este tipo de capacidad puede permitir que grupos menos experimentados realicen trabajos que antes requerían mucha más habilidad y personal.
Como líderes en seguridad, sabemos que la IA permite a los atacantes moverse más rápido. Pero ahora, la automatización convierte el trabajo atrasado en un arma. En el modelo antiguo, tener 13.000 Highs en producción podría racionalizarse como un problema de clasificación. En el nuevo modelo, los atacantes pueden pasar del descubrimiento de la cadena a la validación y explotación en mucho menos tiempo. “Estamos trabajando en el trabajo pendiente” deja de sonar como una estrategia y empieza a sonar como una excusa.
La frase más peligrosa en la sala de juntas
«No te preocupes, el CISO se encarga de todo».
He vivido la realidad detrás de esa frase. Los CISO pueden crear programas, establecer prioridades, informar métricas e impulsar soluciones multifuncionales, pero en muchas empresas, el problema de la vulnerabilidad es estructuralmente mayor que la responsabilidad de cualquier ejecutivo. Es un problema del sistema: dependencias heredadas, limitaciones de velocidad de lanzamiento, entornos de producción frágiles y recursos de ingeniería limitados. Las juntas no pueden delegar la gobernanza.
Línea de casos Caremark de Delaware se cita con frecuencia en las discusiones sobre supervisión de directores: las juntas deben tener sistemas de informes diseñados para sacar a la luz los riesgos consiguientes y deben realmente involucrarse con lo que esos sistemas informan. El objetivo no es asustar a los directores con teoría jurídica, sino dejar claro que si sus informes dicen “tenemos miles de vulnerabilidades graves abiertas”, el trabajo de la junta es ejercer la supervisión.
Qué deberían exigir las juntas directivas (y cómo deberían responder los CISO)
Si es miembro de la junta, debe buscar la verdad operativa. Concéntrese en la resiliencia de la tecnología de su empresa, no solo en el cumplimiento. Y si usted es un líder en seguridad, debería crear los sistemas operativos que la proporcionen. Estas son las preguntas que los equipos pueden utilizar para superar la ciberseguridad performativa:
- ¿Cómo es nuestro programa de gestión de vulnerabilidades de un extremo a otro?
- ¿Cuántas vulnerabilidades (especialmente críticas y máximas) existen en nuestros productos en este momento?
- ¿Cuánto tiempo llevó corregir completamente los nuevos críticos y máximos en el último trimestre? ¿El año pasado?
- Si se descubriera un nuevo día 0 en nuestro producto más vendido hoy, ¿cuánto tiempo pasaría antes de que pudiéramos decirles a los clientes que es seguro?
- ¿Cuál es el costo en dólares de nuestro actual atraso en vulnerabilidades? (Multiplique las horas-persona para reparar por el costo de ingeniería total y obtendrá un número que la junta puede controlar).
Así es como se hace que el trabajo pendiente sea lo suficientemente tangible como para que el liderazgo deje de esconderse detrás de abstracciones.
«Parchear más rápido» no es una respuesta completa
Muchas organizaciones responden a la presión de la junta prometiendo implementar parches más rápido. Eso ayuda, hasta que interrumpe la producción.
Si los parches de emergencia causan de manera confiable un impacto en el cliente (y en algunos entornos lo hacen), se verá obligado a aceptar una compensación terrible: aceptar la exposición o aceptar el tiempo de inactividad. La empresa moderna necesita un modelo que reduzca la frecuencia y el radio de explosión de la remediación de emergencia, no uno que simplemente acelere el mismo frágil proceso.
La realidad de la cadena de suministro: los pasivos están cambiando
Estamos viendo cambios en las responsabilidades a medida que los reguladores y los tribunales se centran en la higiene de la cadena de suministro de software y la resiliencia operativa.
En la UE, la Ley de Resiliencia Cibernética (CRA) ya está en vigor, y sus principales obligaciones entrarán en vigor en diciembre de 2027. Muchas organizaciones enfrentarán expectativas más fuertes en cuanto al manejo de vulnerabilidades, prácticas de seguridad desde el diseño y responsabilidad a lo largo del ciclo de vida del software.
En los servicios financieros, ha entrado en vigor la DORA (Ley de Resiliencia Operativa Digital), que armoniza la gestión de riesgos de las TIC y los requisitos de resiliencia operativa en toda la UE.
También estamos viendo esta dinámica en los EE. UU., donde se presentan demandas por negligencia en demandas colectivas contra empresas, y los demandantes alegan una falta de debida diligencia que condujo a violaciones de datos.
Puede reducir el trabajo atrasado mediante el diseño
En la era de la explotación acelerada por la IA, el “riesgo gestionado” con demasiada frecuencia significa asumir que los atacantes seguirán moviéndose al ritmo de ayer.
Las juntas deberían dejar de aceptar esa suposición. Los CISO deberían dejar de pretender que “parchar más rápido” o que obtener la aceptación del riesgo es suficiente. Y las organizaciones deberían invertir en reducir la exposición a la vulnerabilidad en la fuente para que el próximo informe de auditoría no sea una hoja de cálculo de los riesgos aceptados, sino evidencia de una superficie de ataque cada vez menor.
Enchufe descarado, aquí es donde el enfoque de Chainguard está diseñado para cambiar las matemáticas: comenzar con componentes de software seguros por defecto que minimicen las vulnerabilidades desde el principio y reduzcan la acumulación de vulnerabilidades con el tiempo. Esto significa que llegarán menos hallazgos críticos a su entorno, menos ciclos de parches de emergencia y menos interrupciones operativas cuando llegue el próximo CVE de alto perfil.
Al reducir estructuralmente la acumulación de vulnerabilidades y el trabajo de remediación, los equipos pueden redirigir el tiempo de ingeniería de la extinción de incendios sin retorno de la inversión a innovación con un alto retorno de la inversión que realmente impulse la ventaja competitiva y los ingresos.
Porque cuando comienzan las acusaciones después de la infracción y alguien pregunta por qué la empresa decidió vivir con 13.000 Highs en producción, la única respuesta defendible es: no lo hicimos. Cambiamos el sistema.
Para obtener más opiniones interesantes y consejos prácticos de (y para) líderes en ingeniería y seguridad, suscríbase a Desencadenado o alcanzar para aprender más sobre Chainguard.
Nota: Este artículo fue escrito por expertos y contribuido porQuincy Castro, CISO, Chainguard.
