Gestión de exposición en educación superior

Una institución de educación superior en Chile con 3500 empleados, entre docentes, administrativos y personal de investigación, mantenía una infraestructura digital compleja. La universidad operaba múltiples portales de estudiantes, sistemas de investigación y redes de invitados, lo que expandía su superficie de ataque de manera constante. Un escaneo de vulnerabilidades tradicional realizado por un proveedor externo arrojaba cientos de hallazgos cada semana, pero el equipo de TI, ya sobrecargado, no tenía forma de priorizar cuáles representaban un riesgo real de explotación.

La métrica interna era confusa. Aunque se parchaban sistemas, los auditores externos seguían encontrando vectores de ataque abiertos. La institución necesitaba una forma de medir su exposición a la ciberseguridad desde la perspectiva de un atacante real, no desde una lista genérica de vulnerabilidades. La presión de los organismos de acreditación y la necesidad de proteger los datos de investigación exigían un cambio en el enfoque de la gestión de riesgos.

El diagnóstico que hicimos con el equipo

Revisamos los informes de los últimos tres escaneos de vulnerabilidades y los comparamos con los registros de incidentes. Identificamos dos fallas en el modelo anterior. Primero, el escáner tradicional no diferenciaba entre una vulnerabilidad teórica en un sistema aislado y una vulnerabilidad crítica en un servidor expuesto directamente a internet con credenciales por defecto. Todo se reportaba con la misma urgencia, generando fatiga de alerta.

Segundo, no existía visibilidad sobre la postura de seguridad de los proveedores terceros que tenían acceso a los sistemas de la universidad. Presentamos esta situación al director de informática. En My IT Channel no vendemos productos. Sugerimos las tecnologías del portafolio que mejor encajan con el contexto operativo de cada organización. Aquí, la necesidad era priorización basada en riesgo real y visibilidad externa.

La arquitectura sugerida

La primera tecnología implementada fue Horizon3 para pentesting continuo y autónomo. A diferencia de un escáner tradicional, Horizon3 simula el comportamiento de un atacante real, intentando explotar las vulnerabilidades encontradas para demostrar su impacto real. Esto permitió al equipo de TI recibir una lista priorizada de hallazgos, donde solo se marcaban como críticos aquellos que representaban una ruta de explotación viable y verificada.

La segunda medida fue integrar Black Kite para la gestión de riesgos de terceros (TPRM). Esta herramienta proporcionó un rating de ciberseguridad objetivo y continuo de los proveedores clave de la universidad, basándose en datos observables desde el exterior. Esto permitió al área de compras incluir cláusulas de seguridad basadas en datos reales, en lugar de confiar únicamente en cuestionarios de autoevaluación llenados por los proveedores.

El resultado a los seis meses

El indicador de vulnerabilidades críticas expuestas en el perímetro se redujo de 214 a 12. Este número no refleja una eliminación total de las fallas de software, sino la remediación efectiva de aquellas que Horizon3 confirmó como explotables de forma remota. El equipo de TI pudo enfocar sus esfuerzos en estos 12 casos de alta prioridad, logrando su parcheo en un promedio de 72 horas, frente a las semanas que tomaba antes.

Adicionalmente, el rating de seguridad de los proveedores críticos mejoró un 35 por ciento en promedio, gracias a que la universidad pudo exigir remediaciones específicas basadas en los hallazgos de Black Kite antes de renovar contratos. El proceso de acreditación de seguridad se simplificó, ya que los informes de Horizon3 proporcionaban evidencia técnica sólida y fácil de entender para los auditores externos.

Lo que aprendimos y lo que no sugerimos

La lección más importante fue que la cantidad de vulnerabilidades es una métrica engañosa. La calidad de la explotación es lo que determina el riesgo. Cambiar el enfoque de "contar fallas" a "validar explotabilidad" transformó la relación entre el equipo de seguridad y el de operaciones, eliminando la fricción por prioridades contradictorias.

Respecto a lo que no se hizo, no se sugirió contratar un servicio de pentesting manual tradicional para esta fase inicial. Dado el volumen y la dinámica de cambio de la infraestructura universitaria, un pentest manual anual quedaba obsoleto en semanas. La automatización continua de Horizon3 ofrecía un valor mucho mayor. Tampoco se sugirió implementar un firewall de aplicaciones web (WAF) nuevo, ya que el existente, correctamente configurado con las reglas derivadas de los hallazgos de Horizon3, era suficiente para mitigar los vectores identificados. En My IT Channel sugerimos tecnologías, pero la eficiencia operativa la valida el cliente.

Cada caso es distinto. Este fue el de esta institución de educación superior en Chile. El tuyo probablemente tenga otras variables. Si quieres conversarlo, puedes hablar con un especialista por 30 minutos sin obligación. [fluentform id="7"]