¿Qué es CVSS (Sistema común de puntuación de vulnerabilidades)?

El Sistema Común de Puntuación de Vulnerabilidades, conocido como CVSS, es un marco abierto para evaluar y clasificar la gravedad de las vulnerabilidades de seguridad. Los profesionales de ciberseguridad utilizan las puntuaciones CVSS principalmente para mitigar riesgos. Estas puntuaciones van de 0 a 10 e indican el nivel de vulnerabilidad. Un informe de 2023 estimó que aproximadamente el 93% de las vulnerabilidades recién notificadas seguían sin ser analizadas por la Base de Datos Nacional de Vulnerabilidades (NVD), lo que deja sin gestionar un número sorprendentemente elevado de vulnerabilidades probablemente adaptadas para ataques y con exploits de prueba de concepto disponibles públicamente.

Esta brecha demuestra la importancia de contar con un sistema común de puntuación de vulnerabilidades. Con él, las organizaciones pueden evaluar y priorizar esas vulnerabilidades de forma coherente y adoptar una postura más proactiva frente a las amenazas emergentes.

En este artículo, analizaremos en detalle el Sistema común de puntuación de vulnerabilidades. Explicaremos cómo funciona, en qué se basa el cálculo de una puntuación CVSS y cómo se utiliza la calculadora de CVSS. También lo compararemos con otros sistemas que respaldan una gestión eficaz de vulnerabilidades. Al terminar, tendrá la información necesaria para mejorar la postura de ciberseguridad de su organización.

¿Qué es CVSS (Sistema común de puntuación de vulnerabilidades)?

CVSS, o sistema común de puntuación de vulnerabilidades, es un sistema estandarizado para evaluar y comunicar la vulnerabilidad del software. Asigna una puntuación numérica de 0 a 10: cuanto mayor sea el valor, más grave será la vulnerabilidad. El National Infrastructure Advisory Council (NIAC) lanzó CVSS en 2005 como CVSS 1.0. Posteriormente, el NIAC seleccionó al Forum of Incident Response and Security Teams, conocido popularmente como FRONT, para encargarse del desarrollo futuro de CVSS.

CVSS tiene tres grupos de métricas: básicas, temporales y ambientales. Estas métricas permiten a las organizaciones evaluar distintos aspectos de una vulnerabilidad, como su explotabilidad, el alcance que podría tener en los sistemas, así como su mitigación en distintos entornos. Este enfoque estructurado facilita a las organizaciones gestionar las vulnerabilidades con mayor eficacia y priorizar los parches o las estrategias de mitigación según el impacto probable de cada fallo.

¿Por qué es importante CVSS para la gestión de vulnerabilidades?

CVSS desempeña un papel fundamental en la gestión de vulnerabilidades, ya que facilita su evaluación y priorización sistemáticas. Su uso eficaz refuerza la seguridad general de la organización al orientar la asignación de recursos según las necesidades. Estos factores muestran la importancia de CVSS para la gestión de vulnerabilidades:

1. Estandarización entre plataformas: Las organizaciones con grandes entornos de IT necesitan un marco uniforme para puntuar vulnerabilidades en distintas plataformas y sistemas. CVSS ofrece ese marco. Al aplicar los mismos criterios a todas las vulnerabilidades, establece una base sólida para tomar decisiones.
2. Atención prioritaria a las vulnerabilidades: CVSS permite a los equipos de seguridad priorizar vulnerabilidades mediante una métrica de gravedad unificada. Así se reduce el sesgo subjetivo y los equipos de IT pueden centrarse primero en las vulnerabilidades más críticas. Según un informe, el 71% de las organizaciones gestionaba las vulnerabilidades internamente, pero solo el 30% consideraba muy eficaces sus programas. Además, el 44% planea aumentar la inversión en plataformas de gestión de vulnerabilidades para reforzar sus iniciativas de seguridad.
3. Automatización de los procesos de seguridad: Las herramientas automatizadas de gestión de vulnerabilidades suelen proporcionar la puntuación CVSS. Estas herramientas determinan automáticamente las prioridades de aplicación de parches o mitigación, lo que reduce el tiempo necesario para aplicar parches y los posibles errores humanos. CVSS facilita la automatización de la evaluación de riesgos y acelera la respuesta.
4. Mejor comunicación con las partes interesadas: CVSS ofrece un lenguaje común para hablar de vulnerabilidades. Así, los equipos de IT y desarrollo pueden comunicar su trabajo a las partes interesadas sin conocimientos técnicos. Esta comprensión compartida mantiene alineados a quienes gestionan las vulnerabilidades, facilita la asignación de recursos y permite justificar las iniciativas de seguridad.
5. Cumplimiento de los requisitos normativos: CVSS facilita el cumplimiento de normas como GDPR, PCI-DSS y CCPA porque permite demostrar una gestión proactiva de las vulnerabilidades. Muchos marcos normativos exigen esa gestión, y CVSS aporta la transparencia necesaria para acreditar que se siguen las mejores prácticas de seguridad. Analizar y priorizar vulnerabilidades con un sistema común y aceptado como CVSS también puede simplificar las auditorías de cumplimiento.
6. Decisiones fundamentadas sobre la gestión de parches: Las vulnerabilidades con puntuaciones altas deben abordarse primero para destinar los recursos a mitigar los mayores riesgos. Una encuesta reveló que el 62% de las organizaciones desconocía sus vulnerabilidades antes de sufrir una filtración de datos. Esto subraya la necesidad de una gestión de parches eficaz y fundamentada. Al abordar las vulnerabilidades de forma proactiva, las organizaciones pueden reducir considerablemente el riesgo de filtraciones y reforzar su postura general de seguridad.
7. Mejor comunicación con las partes interesadas: CVSS proporciona un lenguaje común para debatir las vulnerabilidades, lo que permite a los equipos de TI y desarrollo comunicar adecuadamente su trabajo a las partes interesadas sin conocimientos técnicos. El entendimiento común garantiza que todas las personas que se ocupan de la gestión de vulnerabilidades sean conscientes de los mismos problemas, de modo que los recursos se puedan asignar adecuadamente, lo que facilita la justificación de las iniciativas de seguridad.
8. Cumplimiento de los requisitos normativos: El uso de CVSS facilita el cumplimiento de normas reguladoras como el RGPD, PCI-DSS o CCPA, ya que permite a las organizaciones demostrar una gestión proactiva de las vulnerabilidades. La mayoría de los entornos normativos exigen una gestión proactiva de las vulnerabilidades, y CVSS proporciona la transparencia necesaria para demostrar que se están siguiendo las mejores prácticas de seguridad. Las auditorías de cumplimiento pueden simplificarse cuando las vulnerabilidades se analizan y priorizan utilizando un sistema común y aceptado como CVSS.
9. Decisiones informadas sobre la gestión de parches: Las vulnerabilidades con puntuaciones altas deben abordarse en primer lugar, asegurando que se dedican recursos a mitigar los mayores riesgos. Una encuesta reveló que el 62 % de las organizaciones desconocían sus vulnerabilidades antes de sufrir una violación de datos, lo que subraya la necesidad crítica de una gestión eficaz e informada de los parches. Al abordar de forma proactiva las vulnerabilidades, las organizaciones pueden reducir significativamente el número de incidentes de ciberseguridad.cybersecurity/what-is-patch-management/" target="_blank" rel="noopener">gestión de parches. Al abordar de forma proactiva las vulnerabilidades, las organizaciones pueden reducir significativamente el riesgo de violaciones y reforzar su postura de seguridad general.

CVSS frente a otros sistemas de puntuación de vulnerabilidades

Existen distintos sistemas de puntuación de vulnerabilidades adaptados a sectores o casos de uso específicos, lo que dificulta elegir uno. A continuación, compararemos el Sistema común de puntuación de vulnerabilidades con otros sistemas populares y examinaremos sus características y aplicaciones.

Estas comparaciones muestran que CVSS es un estándar aplicado en múltiples sectores. Diseñado para un uso amplio, CVSS evalúa vulnerabilidades con una adaptabilidad excepcional tanto en sistemas tradicionales de IT como en entornos modernos basados en la nube. En cambio, la metodología de evaluación de riesgos de OWASP se centra principalmente en aplicaciones web y depende más de juicios subjetivos sobre el riesgo y el impacto potenciales.

Aunque es eficaz en el entorno Windows, el sistema propietario de puntuación de vulnerabilidades de Microsoft no tiene la aplicabilidad universal de CVSS. Para las organizaciones con infraestructuras de IT heterogéneas, CVSS ofrece la flexibilidad necesaria para evaluar vulnerabilidades de forma coherente en distintas plataformas. Sus métricas exhaustivas ofrecen una evaluación muy detallada y brindan a las organizaciones una visión más completa de los riesgos generales asociados a cada vulnerabilidad.

CVSS frente a CVE

Ahora que conocemos las diferencias con otros sistemas de puntuación de vulnerabilidades, comparemos CVSS con Common Vulnerabilities and Exposures, o CVE. La principal diferencia entre CVSS y CVE radica en su función dentro de la gestión de vulnerabilidades. CVE ofrece una lista de vulnerabilidades conocidas públicamente con identificadores únicos, mientras que CVSS ofrece un sistema de puntuación para evaluar su gravedad. La siguiente tabla muestra las diferencias en detalle:

La tabla anterior muestra que CVE funciona como repositorio de vulnerabilidades y asigna un identificador a cada vulnerabilidad identificada. Esto facilita su seguimiento y el intercambio de información entre plataformas y sectores. CVSS aporta contexto adicional: toma la información de CVS y evalúa la gravedad de estas vulnerabilidades. Así, CVSS complementa a CVE al ofrecer a las organizaciones información para decidir las medidas de remediación adecuadas.

Mientras que CVE responde a la pregunta «¿Cuál es la vulnerabilidad?», CVSS responde a «¿Qué gravedad tiene la vulnerabilidad?». Ambos forman parte de un proceso integral de gestión de vulnerabilidades. Un proceso de identificación de vulnerabilidades como CVE constituye el primer paso, seguido de un marco para priorizar las respuestas como CVSS.

Cómo funciona la metodología de puntuación CVSS

La metodología de puntuación CVSS se divide en tres grupos principales de métricas: básicas, temporales y ambientales. Cada grupo contribuye al cálculo de puntuaciones integrales que reflejan la vulnerabilidad en su conjunto. Estas métricas muestran a las organizaciones cómo podría explotarse una vulnerabilidad concreta, la probabilidad de que ocurra y su posible impacto en el entorno.

Métricas de CVSS: puntuaciones básicas, temporales y ambientales

El modelo de puntuación CVSS se basa en tres tipos de métricas que, en conjunto, cuantifican la gravedad de una vulnerabilidad. Cada tipo cumple una función y ofrece una perspectiva distinta del riesgo que plantea la vulnerabilidad. Veamos estas métricas en detalle:

1. Métricas base: Las métricas base describen características de una vulnerabilidad que no cambian con el tiempo. Incluyen, entre otros aspectos, el vector de ataque: si el ataque se realiza a través de la red, de una red adyacente o de forma local. Las métricas de impacto abarcan la confidencialidad, la integridad y la disponibilidad. Estos elementos constituyen las métricas base de cualquier puntuación CVSS.
2. Métricas temporales: Las métricas temporales consideran factores que pueden cambiar con el tiempo. Por ejemplo, la disponibilidad de código de explotación o la existencia de una medida correctiva. Si se publica un parche, estas métricas se actualizan para reflejar una reducción del riesgo. Ofrecen información dinámica, por lo que la puntuación CVSS puede cambiar a medida que se conoce más sobre la vulnerabilidad.
3. Métricas ambientales: Las métricas ambientales ajustan la puntuación CVSS según las características del sistema afectado. Adaptan las puntuaciones base y temporales para reflejar el impacto de la vulnerabilidad en el entorno específico de la organización. Esta personalización es importante para que cada organización determine el riesgo real que supone la vulnerabilidad.
4. Métricas ambientales: Las métricas ambientales permiten adaptar la puntuación CVSS en función de las características que puedan aplicarse a un sistema afectado. Estas métricas ayudan a adaptar las puntuaciones base y temporales de manera que el impacto de la vulnerabilidad se refleje en el entorno particular de la organización. Por eso es importante la personalización, para que las organizaciones puedan determinar el riesgo real que supone para ellas dicha vulnerabilidad.

Niveles de gravedad de la puntuación CVSS: bajo, medio, alto y crítico

Las puntuaciones CVSS tienen distintos niveles de gravedad que representan el riesgo que puede plantear una vulnerabilidad. Estos niveles, denominados bajo, medio, alto y crítico, orientan a la organización sobre la urgencia, el impacto y los recursos necesarios para la remediación. Esto significa cada rango de puntuación:

1. Bajo (0,1 – 3,9): Las vulnerabilidades con puntuación baja suponen un riesgo mínimo para los sistemas. Son difíciles de explotar o tendrían muy poco impacto si se explotaran. Las organizaciones pueden abordarlas más adelante, ya que la probabilidad de explotación o el impacto en las funciones esenciales son casi insignificantes.
2. Medio (4,0 – 6,9): Las vulnerabilidades de esta categoría requieren un esfuerzo moderado para explotarse o pueden tener un impacto moderado si la explotación tiene éxito. Merecen cierta atención, pero por lo general no representan un peligro inmediato. Por ello, los equipos deben priorizarlas según su disponibilidad y carga de trabajo actual.
3. Alto (7,0 – 8,9): Las vulnerabilidades con puntuación alta son más fáciles de explotar y afectan la confidencialidad, la integridad o la disponibilidad de los sistemas. Requieren medidas de remediación importantes: si permanecen sin corregir durante mucho tiempo, aumenta el riesgo de incidentes de seguridad graves.
4. Crítico (9,0 – 10,0): Las vulnerabilidades críticas representan la mayor amenaza y deben abordarse primero. Son fáciles de explotar o pueden causar daños críticos si se explotan. Al identificarlas, muchas organizaciones aplican procedimientos como la instalación de parches de emergencia.
5. Alta (7,0 - 8,9): Las vulnerabilidades con puntuación alta son más fáciles de explotar y su explotación afectará a la confidencialidad, integridad o disponibilidad del sistema. De hecho, se requieren medidas correctivas significativas para la resolución de estas vulnerabilidades, ya que el riesgo de incidentes de seguridad graves en las organizaciones aumentará si dichas vulnerabilidades no se corrigen durante mucho tiempo.
6. Crítico (9,0 - 10,0): Las vulnerabilidades críticas son las más amenazantes y las primeras que deben abordarse. La lista de vulnerabilidades incluye aquellas que son fáciles de explotar o las que provocan daños críticos tras su explotación exitosa. Existen algunos procedimientos que la mayoría de las organizaciones implementan tras la identificación de vulnerabilidades críticas, como los parches de emergencia.

¿Cómo se calcula una puntuación CVSS?

Calcular una puntuación CVSS puede resultar complejo para las empresas porque intervienen diversas mediciones. Este método estructurado pondera cuidadosamente factores como el impacto de la vulnerabilidad. A continuación, desglosamos el proceso de puntuación en cuatro etapas:

1. Evaluación del grupo de métricas base: El primer paso consiste en asignar valores a las métricas base que representan las propiedades intrínsecas de la vulnerabilidad. Estas incluyen el vector de ataque, la complejidad del ataque, los privilegios necesarios, la interacción del usuario y los efectos sobre la confidencialidad, la integridad y la disponibilidad. Las métricas base establecen una referencia inicial del riesgo según la naturaleza de la vulnerabilidad.
2. Evaluación del grupo de métricas temporales: El siguiente paso evalúa las métricas temporales. Se examina el estado actual de la vulnerabilidad, incluida la disponibilidad de una medida correctiva o de código de explotación y el grado de confianza en el informe. Las puntuaciones temporales pueden cambiar con el tiempo para reflejar cambios en la facilidad de explotación o en la remediación. Por ello, las organizaciones deben reevaluar el nivel de riesgo a medida que evoluciona la situación.
3. Personalización del grupo de métricas ambientales: En el tercer paso se consideran las métricas ambientales. Las organizaciones ajustan las puntuaciones base y temporales para reflejar el impacto de la vulnerabilidad en su entorno. Estas métricas incorporan requisitos de seguridad que varían entre organizaciones, lo que hace que la puntuación CVSS se ajuste mejor a sus prioridades de seguridad y necesidades operativas.
4. Cálculo de las puntuaciones con la calculadora CVSS: Tras puntuar todos los grupos de métricas, se calcula la puntuación final con una calculadora CVSS disponible en la National Vulnerability Database (NVD). Esta puntuación describe la gravedad de la vulnerabilidad para que las organizaciones puedan precisar sus medidas de remediación.
5. Personalización del grupo de métricas ambientales: En el tercer paso, se tienen en cuenta las métricas ambientales. Esto permite a las organizaciones cambiar las puntuaciones base y temporales para reflejar el impacto que la vulnerabilidad tiene en su entorno. Las métricas ambientales introducen requisitos de seguridad que difieren de una organización a otra, lo que hace que la puntuación CVSS sea un poco más práctica para las prioridades de seguridad y los requisitos operativos de una empresa.
6. Cálculo de puntuaciones con la calculadora CVSS: Después de puntuar todos los grupos de métricas, la puntuación final se calcula con la ayuda de una calculadora CVSS que está disponible en la Base de Datos Nacional de Vulnerabilidades (NVD). Esta puntuación describirá entonces la gravedad de la vulnerabilidad, de modo que las organizaciones puedan ser más precisas en sus actividades de corrección.

¿Cómo pueden las organizaciones usar CVSS para priorizar vulnerabilidades?

La priorización de vulnerabilidades es una parte fundamental de una estrategia eficaz de ciberseguridad. La puntuación CVSS permite identificar cuáles requieren atención inmediata y cuáles pueden abordarse más adelante. Las organizaciones que utilizan CVSS en la gestión de vulnerabilidades pueden mitigar los riesgos de forma sistemática. Estas son algunas maneras de usarlo:

1. Priorización según la gravedad de la puntuación: Las vulnerabilidades altas y críticas, con puntuaciones de 7,0 o más, deben remediarse de inmediato para reducir el riesgo de brechas de seguridad a gran escala. Esta priorización concentra el tiempo y los recursos de remediación en las amenazas más peligrosas. Abordar primero estas vulnerabilidades protege los activos esenciales y reduce las posibles interrupciones operativas.
2. Remediación alineada estratégicamente con los objetivos empresariales: Las organizaciones deben usar métricas ambientales para ajustar las puntuaciones CVSS según la criticidad y centrarse en las vulnerabilidades que afectan a activos críticos o funciones esenciales. Así, las medidas de remediación respaldan directamente los objetivos estratégicos clave de la empresa. Priorizar según el impacto optimiza el uso de recursos al concentrarlos en los riesgos más relevantes para la seguridad y el éxito de la organización.
3. Respuesta automática a las vulnerabilidades: La mayoría de los sistemas de gestión de vulnerabilidades integran la puntuación CVSS para automatizar la priorización. Pueden activar flujos de trabajo en respuesta a vulnerabilidades críticas y reducir los errores mediante CVSS. La automatización disminuye el trabajo manual para que los equipos de seguridad aborden con más eficacia las vulnerabilidades urgentes y mejoren su capacidad de respuesta.
4. Integración de CVSS con la inteligencia de amenazas: Al incorporar inteligencia de amenazas a las puntuaciones CVSS, las organizaciones comprenden mejor el riesgo real de cada vulnerabilidad en tiempo real. Los datos de inteligencia de amenazas pueden revelar que una vulnerabilidad se está explotando activamente y cambiar las prioridades. Así, la organización se adelanta a los ataques activos y se protege de forma proactiva frente a nuevas amenazas emergentes.
5. Revisión y actualización periódicas de la priorización basada en CVSS: La revisión y el ajuste de la priorización basada en CVSS en toda la organización deben ser continuos para garantizar que la estrategia refleje las necesidades de seguridad cambiantes y la evolución de la percepción del riesgo. Los nuevos datos sobre amenazas, los cambios en la infraestructura o los cambios en las metas y objetivos empresariales pueden motivar una actualización de la priorización. Este ajuste periódico hará que el proceso de gestión de vulnerabilidades aproveche la precisión y la pertinencia de CVSS para que la seguridad sea proactiva y adaptable.
6. Integración de CVSS con la inteligencia sobre amenazas: Al aplicar inteligencia sobre amenazas a las puntuaciones CVSS, una organización comprenderá mejor el riesgo real de cada vulnerabilidad en tiempo real. Los datos de inteligencia sobre amenazas podrían mostrar que una vulnerabilidad concreta se está explotando activamente y, por lo tanto, cambiar las prioridades. De este modo, la organización se mantiene un paso por delante de los ataques activos y puede protegerse de forma proactiva contra las nuevas amenazas emergentes.
7. Revisión y actualización periódicas de la priorización basada en CVSS: La revisión y el perfeccionamiento de la priorización basada en CVSS en toda la organización deben realizarse de forma continua para garantizar que la estrategia refleje las necesidades de seguridad cambiantes y la evolución de la percepción del riesgo. Entre los acontecimientos que pueden impulsar la actualización de la priorización se incluyen los nuevos datos sobre amenazas, cambios en la infraestructura o cambios en las metas y objetivos empresariales. Este perfeccionamiento periódico hará que el proceso de gestión de vulnerabilidades utilice la precisión y la pertinencia del CVSS para que la seguridad sea proactiva y adaptable.

¿Cuáles son las limitaciones de CVSS?

Aunque CVSS es una herramienta eficaz para evaluar la gravedad de las vulnerabilidades, tiene limitaciones. Conocerlas permite a las empresas tomar decisiones más fundamentadas sobre cómo aplicar esta tecnología.

Comprender estas limitaciones también sitúa a las organizaciones en una mejor posición para usar herramientas complementarias que cubran las carencias.

1. Falta de información específica del contexto: CVSS no considera por sí mismo las particularidades de cada organización, como el valor empresarial o su panorama de amenazas. Los usuarios deben aplicar métricas ambientales para ajustar las puntuaciones a su entorno y caso de uso.
2. Subjetividad al asignar puntuaciones:  Algunas métricas son subjetivas y dependen de la experiencia de quien asigna la puntuación. Por ejemplo, la complejidad del ataque o los privilegios necesarios pueden interpretarse de forma muy distinta. Esto puede llevar a priorizar las vulnerabilidades en exceso o por debajo de lo necesario y afectar la eficacia de su gestión. Las directrices estandarizadas de puntuación reducen este riesgo.
3. No considera las tendencias de explotación: Aunque las métricas temporales varían según la facilidad de explotación, CVSS no considera cómo las tendencias de ataque pueden influir en los riesgos futuros. Una vulnerabilidad con una puntuación muy baja puede volverse más peligrosa si aparecen nuevas formas de explotarla. Por eso, complementar CVSS con herramientas de inteligencia de amenazas es indispensable para comprender mejor el riesgo.
4. Información limitada sobre la interacción entre vulnerabilidades: La puntuación CVSS por sí sola no tiene en cuenta los efectos acumulados de las vulnerabilidades combinadas. Los grafos de ataque grandes y complejos que se utilizan para explotar múltiples vulnerabilidades implican un riesgo mucho mayor del que refleja su puntuación. Para identificar y corregir estos riesgos acumulados, es necesario complementar la puntuación con un análisis de rutas de ataque o pruebas de penetración.
5. Carácter estático de la puntuación: El problema de las puntuaciones CVSS es que reflejan la situación en un momento concreto. No se actualizan automáticamente cuando cambia el panorama de amenazas o el entorno de una organización. Este carácter «estático» puede hacer que algunas evaluaciones queden desactualizadas, especialmente cuando las vulnerabilidades evolucionan con rapidez.
6. Orientación limitada para priorizar en distintos entornos: CVSS por sí solo no ofrece orientación suficiente para priorizar en entornos con distintos requisitos normativos u operativos. Por ejemplo, ciertas vulnerabilidades del sector financiero pueden requerir una corrección inmediata por motivos de cumplimiento, mientras que en otros sectores pueden ser menos críticas. Las organizaciones deben combinar CVSS con factores de riesgo específicos de su sector para alinear sus prioridades normativas y operativas con esos riesgos.
7. Naturaleza estática de la puntuación: El problema de las puntuaciones CVSS es que se convierten en una instantánea de un momento determinado. Las puntuaciones noactualizan con respecto a los cambios en el panorama de amenazas o los cambios en el entorno del que forma parte una organización. Es debido a esta naturaleza "estática" que algunas evaluaciones quedan bastante desactualizadas, especialmente en el caso de vulnerabilidades que cambian muy rápidamente.
8. Orientación mínima para establecer prioridades en entornos diversos: El CVSS por sí solo no puede proporcionar una orientación adecuada para establecer prioridades en entornos diversos con requisitos normativos u operativos diferentes. Por ejemplo, ciertas vulnerabilidades del ámbito financiero pueden requerir una corrección inmediata por cuestiones de cumplimiento normativo; en otros sectores, pueden ser menos críticas. Las organizaciones deben basarse en el CVSS junto con los factores de riesgo específicos del sector para asegurarse de que el cumplimiento normativo y las prioridades operativas sigan estando en consonancia con estos factores de riesgo.

Prácticas recomendadas para el Sistema Común de Puntuación de Vulnerabilidades (CVSS)

Las prácticas recomendadas permiten a las organizaciones aprovechar CVSS y gestionar sus limitaciones. Su aplicación constante permite a los equipos de seguridad centrarse en los riesgos más importantes y mitigarlos adecuadamente.

Estas son algunas prácticas recomendadas para CVSS:

1. Integración de las puntuaciones CVSS con inteligencia de amenazas: Combinar las puntuaciones CVSS con inteligencia de amenazas actualizada ofrece una visión más completa de las vulnerabilidades y permite evaluar el riesgo real. También incorpora otros factores, como las tendencias y las amenazas más activas. Así, la gestión de vulnerabilidades se adapta a los cambios.
2. Uso de métricas ambientales: Las métricas ambientales permiten ajustar la puntuación a la situación específica de cada organización. Este ajuste conecta la puntuación genérica con la gestión de riesgos propia de la organización y dirige los recursos limitados hacia donde tendrán mayor impacto.
3. Actualización frecuente de las puntuaciones CVSS: Las puntuaciones CVSS deben actualizarse constantemente a medida que evolucionan las vulnerabilidades. Las métricas temporales hacen que las puntuaciones de las vulnerabilidades activas reflejen las posibilidades actuales de explotación y la disponibilidad de parches. Así, las estrategias de corrección se adaptan a los cambios en el panorama de vulnerabilidades.
4. Priorización según la importancia crítica de los activos: Combinar CVSS con la importancia crítica de los activos aporta claridad a las estrategias de mitigación. Relacionar la puntuación CVSS con el valor o la importancia crítica de cada activo permite a los equipos de seguridad centrarse en las vulnerabilidades cuya explotación tendría un gran impacto. Así, los activos de mayor riesgo reciben la atención y la protección que necesitan.
5. Colaboración entre funciones de seguridad: La participación de distintas funciones de seguridad, como la gestión de riesgos y el servicio de respuesta a incidentes en la interpretación de las puntuaciones impulsa una gestión coordinada de las vulnerabilidades. Los equipos multifuncionales aplican la puntuación CVSS tanto a la evaluación inmediata de amenazas como a la planificación estratégica a largo plazo. Esto coordina sus acciones para fortalecer la postura de seguridad general.
6. Combinación de CVSS con plazos de corrección: Establecer plazos de corrección según las puntuaciones CVSS estructura la respuesta y evita retrasos. Las organizaciones vinculan cada puntuación CVSS con un tiempo de respuesta para aplicar políticas de corrección oportunas y gestionar las vulnerabilidades de forma previsible y eficiente. Este enfoque facilita la planificación proactiva de recursos y la asignación de responsabilidades dentro del equipo de seguridad.
7. Priorización basada en la criticidad de los activos: El uso del CVSS, además de la criticidad de los activos, lo pondrá de relieve al crear estrategias de mitigación. La correspondencia entre la puntuación CVSS y los valores o la criticidad de los activos permite a los equipos de seguridad centrarse en las vulnerabilidades cuya explotación tendría un gran impacto. Este enfoque garantiza, a su vez, que se tengan en cuenta los activos más riesgosos y, por lo tanto, se proporcione protección en los lugares donde más se necesita.
8. Colaboración entre las funciones de seguridad: La participación de diferentes funciones de seguridad, como la gestión de riesgos y la respuesta a incidentes, en la interpretación del significado de las puntuaciones garantiza un impulso común hacia la gestión de vulnerabilidades. Los equipos multifuncionales trabajan para garantizar que la puntuación CVSS se aplique en cada caso para la evaluación inmediata de amenazas y también para la planificación estratégica a largo plazo. Esto alinea las acciones de todos los equipos para lograr una postura de seguridad global.
9. Combinación de CVSS con plazos de corrección: El establecimiento de plazos de corrección basados en las puntuaciones CVSS permite una respuesta estructurada y ayuda a evitar retrasos. Las organizaciones asignarán la puntuación CVSS a determinados tiempos de respuesta para aplicar políticas de corrección oportunas, lo que significa que las vulnerabilidades se gestionan de forma predecible y eficiente. Este enfoque estructurado permite una planificación proactiva de los recursos y la rendición de cuentas en todo el equipo de seguridad.

Ejemplos reales de CVSS en acción

Los ejemplos reales muestran la relevancia práctica de CVSS  para las empresas. A continuación se presentan algunas vulnerabilidades conocidas, sus puntuaciones CVSS y lo que pueden significar para una organización:

1. Heartbleed (CVE-2014-0160): Heartbleed es una vulnerabilidad de la biblioteca de software criptográfico OpenSSL con una puntuación base CVSS de 7.5. Esta vulnerabilidad permitía a los atacantes aprovechar la función heartbeat para leer datos sensibles directamente de la memoria de los servidores afectados, incluidas claves privadas y credenciales de usuarios. Una puntuación tan alta indicaba un impacto elevado en la confidencialidad, por lo que las organizaciones debían priorizar la aplicación inmediata de parches. Esta vulnerabilidad generalizada afectó a un número considerable de sitios web, lo que impulsó la mejora de las prácticas de seguridad y la concienciación en el sector. También podría provocar filtraciones masivas de datos y robos de identidad, lo que exigía medidas correctivas.
2. Vulnerabilidad de ejecución remota de código en Windows SMB (CVE-2017-0144): La puntuación CVSS de esta vulnerabilidad se clasificó como alta, con un 8,8 porque permitía la ejecución remota de código en sistemas Windows. De hecho, el ransomware WannaCry afectó a cientos de miles de computadoras en todo el mundo porque utilizó esta herramienta de ataque, que explotaba una vulnerabilidad en la implementación de Server Message Block (SMB) de Microsoft. Esta vulnerabilidad permitía a los atacantes acceder a los sistemas sin autenticarse y ejecutar código arbitrario. La puntuación mostró claramente la necesidad de aplicar parches y actualizar los sistemas de inmediato. También puso de manifiesto la rapidez con la que los ciberdelincuentes explotan vulnerabilidades similares en software o sistemas. Esto impulsa la adopción de medidas de seguridad más sólidas para evitar ataques de este tipo en el futuro.
3. Shellshock (CVE-2014-6271): El CVSS para esta vulnerabilidad fue es una vulnerabilidad del intérprete de comandos Bash que obtuvo una puntuación CVSS de 9,8 y, por tanto, se clasificó como crítica. Mediante variables de entorno, los atacantes podían ejecutar cualquier tipo de comando en sistemas basados en Unix. La magnitud de esta vulnerabilidad era considerable, ya que múltiples dispositivos estaban en riesgo, por lo que administradores de sistemas de todo el mundo actuaron de inmediato. Los puntos de entrada remotos no requerían autenticación y el sistema contaba con muy pocos controles en muchos de ellos. Era muy vulnerable a amenazas que comprometían la integridad y la confidencialidad. Las organizaciones se vieron obligadas a aplicar correcciones rápidas y amplias medidas de seguridad para evitar que volviera a ocurrir., ya que permitía la ejecución remota de código dentro de los sistemas Windows. De hecho, el ransomware WannaCry afectó a cientos de miles de ordenadores en todo el mundo porque utilizó esta herramienta de ataque, que explotaba una vulnerabilidad en la implementación de Microsoft del bloque de mensajes del servidor (SMB). Esta vulnerabilidad permitía a los atacantes acceder a los sistemas sin autenticación y ejecutar código arbitrario. La puntuación mostraba claramente la necesidad de aplicar parches y actualizaciones del sistema de forma inmediata, lo que pone de manifiesto la rapidez con la que los ciberdelincuentes explotan vulnerabilidades similares en el software o los sistemas. Esto anima a implementar medidas de seguridad más sólidas para que estos exploits no se produzcan en el futuro.
4. Log4Shell (CVE-2021-44228): Log4Shell es una vulnerabilidad basada en una debilidad de la biblioteca de registro Log4j. Tiene una puntuación crítica de 10 en CVSS y permite a un atacante ejecutar código arbitrario en los servidores que utilizan la biblioteca cuando reciben mensajes de registro especialmente diseñados. Su amplia exposición en numerosas aplicaciones, distribuidas en miles de paquetes, exigió aplicar parches de emergencia de forma generalizada en esos sectores. Las organizaciones tuvieron que actuar bajo una presión extrema para proteger sus sistemas frente a posibles ataques. No aplicar los parches suponía brechas de datos muy graves e interrupciones operativas. El incidente puso de relieve la necesidad de mantener actualizada la biblioteca de software y permanecer alerta ante vulnerabilidades de este tipo.
5. Spectre and Meltdown (CVE-2017-5754): Spectre and Meltdown son vulnerabilidades de los microprocesadores que han recibido una puntuación de 5,6 en la escala CVSS por sus profundas implicaciones para la privacidad de los datos y la integridad de los sistemas. Estas fallas en la arquitectura de la CPU permiten que un atacante acceda a información almacenada en la memoria de distintas aplicaciones. La corrección resultó compleja porque exigía combinar parches de software con cambios en la arquitectura del hardware, lo que supuso un problema para organizaciones de todo el mundo. Esto impulsó nuevas investigaciones sobre la seguridad del hardware y avances en las medidas proactivas para mitigar los riesgos asociados a las amenazas emergentes en la tecnología informática.
6. Log4Shell (CVE-2021-44228): Log4Shell es una vulnerabilidad basada en la debilidad de la biblioteca de registro Log4j, con una puntuación CVSS crítica de 10, que permite a un atacante ejecutar código arbitrario en los servidores que implementan la biblioteca al recibir mensajes de registro especialmente diseñados. Una vulnerabilidad tan alta aplicada en numerosas aplicaciones en miles de paquetes justificó la aplicación de parches de emergencia en esos sectores. Las organizaciones tuvieron que operar bajo una presión extrema para proteger sus sistemas contra posibles explotaciones, y no aplicar los parches significaba graves violaciones de datos e interrupciones operativas. El evento puso de manifiesto la necesidad de mantener actualizadas las bibliotecas de software y estar siempre atentos a este tipo de vulnerabilidades.
7. Spectre y Meltdown (CVE-2017-5754): Spectre y Meltdown son vulnerabilidades de microprocesadores que han recibido una puntuación de 5,6 en la escala CVSS debido a las profundas implicaciones que tienen en relación con la privacidad de los datos y la integridad del sistema. Estos fallos en la arquitectura de la CPU permiten a un atacante acceder a la información almacenada en la memoria de diversas aplicaciones. La corrección fue bastante difícil, ya que exigía una combinación de parches de software y cambios arquitectónicos a nivel de hardware, lo que resultó supuso un problema para organizaciones de todo el mundo. Esto dio lugar a un estudio más profundo sobre la seguridad del hardware y al avance de medidas proactivas para mitigar los riesgos asociados a las amenazas emergentes en la tecnología informática.

Ciberseguridad basada en IA

Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.

Demostración

Conclusión

En conclusión, hemos visto cómo CVSS se ha convertido en un estándar para evaluar y gestionar vulnerabilidades en diversos sistemas. Las métricas base, temporales y ambientales permiten a las organizaciones aplicar una metodología uniforme a la gestión de vulnerabilidades. Este enfoque estructurado facilita la priorización y asignación de recursos, así como la toma de decisiones fundamentadas y la gestión eficaz de las vulnerabilidades. Aunque CVSS tiene limitaciones, la inteligencia de amenazas y la importancia crítica de los activos lo convierten en una herramienta básica para mejorar la postura de seguridad y cumplir los requisitos normativos con una interrupción mínima.