La cadencia de parches de los proveedores (la velocidad con la que un proveedor de software identifica, desarrolla y publica parches para las vulnerabilidades conocidas de su software) es una de las dimensiones más importantes, pero menos rigurosamente evaluadas, de la seguridad de la cadena de suministro de software. Los cuestionarios de TPRM suelen pedir a los proveedores que declaren sus SLA de parches: con qué rapidez se comprometen a corregir las vulnerabilidades de severidad crítica, alta, media y baja. Los proveedores suelen dar respuestas a nivel de política que describen su compromiso aspiracional o declarado. Lo que rara vez se evalúa es si ese compromiso declarado se cumple realmente: si el tiempo promedio desde la publicación de la vulnerabilidad hasta el lanzamiento del parche se ajusta a la política y si todas las vulnerabilidades críticas terminan recibiendo un parche.
La brecha entre la política y el cumplimiento es el problema central. Un proveedor que declara un SLA de parches de vulnerabilidades críticas de 30 días y logra un promedio de 73 días no cumple su política declarada, pero esto no será visible en un cuestionario que pregunta por la política en lugar de medir el cumplimiento. La medición exige examinar el historial real de versiones del proveedor y correlacionarlo con los plazos de CVE publicados: ¿cuándo se publicó la vulnerabilidad, cuándo estuvo disponible el parche y es esto coherente en el conjunto de las vulnerabilidades publicadas? Este análisis es posible con datos públicos (fechas de publicación de la NVD, notas de versión del proveedor y seguimiento de CVE), pero exige un esfuerzo que un cuestionario estándar no exige.
El problema de las vulnerabilidades sin parche es la exposición específica para la TPRM. Las vulnerabilidades críticas que nunca reciben parche representan un riesgo permanente para todas las empresas que ejecutan la versión de software afectada. La política de parches de 30 días del proveedor no aborda las vulnerabilidades que no reciben ningún parche: solo describe el plazo previsto para los parches que sí se producen. Cuatro de las catorce vulnerabilidades críticas del proveedor del último año siguen sin parche después del plazo declarado de 30 días. Para las empresas que ejecutan esas versiones de software, la vulnerabilidad no es un riesgo de 30 ni de 73 días: es un riesgo persistente sin ninguna corrección programada.
Por qué es importante
La realidad de la cadencia de parches es importante porque el software que implementa su empresa sigue acumulando riesgo de vulnerabilidades entre su evaluación inicial y la siguiente revisión del proveedor prevista. Un proveedor que aplica parches con lentitud o de forma incompleta es un proveedor cuyo software se vuelve progresivamente más vulnerable con el tiempo. La empresa que confirmó la política de parches de 30 días del proveedor sin medir su cumplimiento ejecuta un software considerablemente más vulnerable de lo que implica la confirmación de la política.
- Política de parches confirmada sin medición del cumplimiento
- Tiempo promedio de parcheo no calculado a partir de datos históricos de versiones y de CVE
- Vulnerabilidades sin parche no identificadas: la política pregunta por el SLA, no por la cobertura
- Sin monitoreo continuo de parches: solo confirmación puntual de la política
- Actualización de la versión de software implementada sin seguimiento frente a la última versión con parche
Cómo se ve una buena práctica
Los programas maduros de cadencia de parches de proveedores miden el cumplimiento real de los parches a partir de datos históricos: calculan el tiempo promedio desde la publicación del CVE hasta el lanzamiento del parche para el software del proveedor, identifican las vulnerabilidades sin parche y hacen seguimiento de la actualización de la versión implementada por la empresa frente a la última versión con parche.
- Análisis histórico del cumplimiento de parches: publicación del CVE frente a plazo de lanzamiento del parche
- Identificación de vulnerabilidades sin parche: CVE de software que no tiene parche
- Seguimiento de la actualización de la versión implementada: versión actual frente a la última versión con parche
- Monitoreo continuo de parches: monitoreo de CVE para el software implementado
- Métrica de cumplimiento del SLA de parches: política frente a realidad en las evaluaciones de proveedores
Herramientas
Monitoreo de parches: Vulncheck y Recorded Future para el análisis de la publicación de CVE y de los plazos de los parches; Snyk para el monitoreo continuo del software implementado
Las plataformas de inteligencia de vulnerabilidades ofrecen los plazos de publicación de CVE y el seguimiento de los lanzamientos de parches de los proveedores, lo que permite calcular el cumplimiento de la cadencia de parches a partir de datos públicos. Para los profesionales de TPRM, calcular el tiempo promedio desde la publicación del CVE hasta el lanzamiento del parche del proveedor para un producto de software durante los últimos doce meses es una medición específica y objetiva de la cadencia de parches que las declaraciones de políticas no pueden sustituir.
Desafíos de gobernanza
El desafío de gobierno de la evaluación de la cadencia de parches es el esfuerzo de recopilación de datos. Calcular el cumplimiento real de los parches a partir de datos de CVE y de versiones exige consultar las fechas históricas de publicación de los CVE, encontrar las notas de versión del proveedor que corrigen cada CVE y calcular la diferencia. Esto es factible para los CVE críticos, pero requiere mucho trabajo para un análisis integral. La solución de gobierno es priorizar el análisis del cumplimiento real de los parches para los proveedores de software críticos y utilizar el monitoreo automatizado de vulnerabilidades para cubrir de forma continua el software implementado.
- Calcule el cumplimiento real de parches de los proveedores de software críticos, no solo la política
- Identifique los CVE críticos sin parche del software implementado
- Haga seguimiento de la actualización de la versión implementada: implementación actual frente a la última versión con parche
- Implemente un monitoreo continuo de CVE para el software implementado
- Incluya los datos de cumplimiento de parches en la reevaluación del proveedor junto con la política
Si usted forma parte de un equipo pequeño
Para sus tres proveedores de software más críticos, consulte los CVE publicados para su software en los últimos doce meses y las fechas de lanzamiento de los parches que los corrigieron. Calcule el tiempo promedio entre la publicación del CVE y la disponibilidad del parche. Luego verifique si algún CVE crítico no se ha corregido en una versión publicada. Ese análisis, realizado con la NVD, MITRE CVE y las notas de versión del proveedor, le indicará si el SLA de parches de 30 días describe una práctica o expresa una aspiración.
- Consulte los CVE de sus tres principales proveedores de software de los últimos 12 meses
- Calcule el plazo promedio desde la publicación del CVE hasta el lanzamiento del parche
- Identifique los CVE críticos sin parche
- Haga seguimiento de la actualización de la versión implementada frente a la última versión con parche
Qué exigir
Pregunte directamente:
“¿Cuál fue su tiempo promedio desde la publicación de un CVE crítico hasta el lanzamiento del parche en los últimos doce meses? ¿Hay algún CVE crítico publicado en los últimos doce meses para su software que todavía no se haya corregido en un parche publicado?”
Evidencia que debe esperar
- Datos históricos de los plazos de parches: publicación del CVE frente a lanzamiento del parche
- Lista de CVE críticos sin parche con plazo de corrección
- Cadencia promedio de parches por severidad
- Confirmación de la actualización de parches de la versión implementada
A un proveedor que confirma un SLA de parches de 30 días se le deben solicitar sus datos reales de cumplimiento de parches. La política describe el compromiso. Los datos históricos describen el desempeño. Ambos son necesarios para evaluar el riesgo real de ejecutar el software de ese proveedor.
Cómo demostrarlo
- Registros del análisis histórico del cumplimiento de parches
- Seguimiento de CVE sin parche
- Monitoreo de la actualización de la versión implementada
- Cumplimiento del SLA de parches en la evaluación de proveedores
Conclusión clave
SLA de parches de 30 días: confirmado. Tiempo real promedio de parcheo: 73 días. CVE críticos sin parche: 4 de 14. La política era real. El cumplimiento no. El cuestionario preguntaba por la política. Los datos sobre los plazos de los parches revelaron la brecha de cumplimiento. La confirmación de la política describe lo que el proveedor pretende. Los datos históricos de cumplimiento describen lo que entrega. En el riesgo de la cadena de suministro de software, lo que entrega determina la exposición real a vulnerabilidades de la empresa que ejecuta su software, no lo que pretende entregar.