Preguntas frecuentes relacionadas con el Informe sobre la postura de seguridad

Desarrollado por Beazley Security, el Informe sobre la postura de seguridad es una evaluación personalizada del riesgo cibernético que proporciona a las organizaciones información valiosa sobre su postura de ciberseguridad externa. El informe destaca las áreas de riesgo potencial, ofreciendo recomendaciones personalizadas y prácticas para reforzar sus defensas y reducir la probabilidad de un ataque.

¿Por qué Beazley Security proporciona este informe?

Como parte de una nueva solicitud de seguro cibernético, y en nombre de sus filiales de seguros Beazley («Beazley»), Beazley Security realiza un análisis de la infraestructura de red de la organización cliente mediante una tecnología patentada denominada Karma para identificar posibles vulnerabilidades. Los resultados clave obtenidos con Karma se describen en el Informe sobre la postura de seguridad (SPR), que permite a las organizaciones conocer mejor las vulnerabilidades, comprender el grado de riesgo que pueden representar para su postura de ciberseguridad y ofrecer medidas correctivas para reducir el riesgo de un ciberataque.

¿A quién va dirigido este informe?

El Informe sobre la postura de seguridad (SPR, por sus siglas en inglés) ofrece beneficios tangibles a múltiples partes interesadas en el proceso de adquisición del seguro. En concreto, el SPR ofrece a los asegurados y a los posibles asegurados una mayor comprensión de sus vulnerabilidades de seguridad, ayudándoles a reducir la probabilidad de sufrir ciberataques. El SPR también permite a los corredores posicionarse mejor para asesorar a los clientes sobre su postura de ciberseguridad durante las conversaciones sobre la cobertura del seguro.

¿Cómo detecta Beazley Security estos problemas?

Beazley Security ha desarrollado una solución que permite analizar automáticamente la infraestructura de red de acceso público de una organización y detectar vulnerabilidades. Karma comienza con el dominio de la organización —por ejemplo, ejemplo.com— y utiliza distintas fuentes para descubrir los subdominios relacionados de la organización, como formularios.ejemplo.com o tienda.ejemplo.com. Tras identificar los subdominios, Karma determina qué direcciones IP alojan contenido para cada dominio.

Después de identificar las direcciones IP, Karma trabaja para detectar todos los puertos abiertos y el software alojado en cada IP. La detección de puertos abiertos es fundamental, ya que permite a Beazley Security comprender la exposición de una organización y obtener más información sobre su superficie de ataque. Karma utiliza estos puertos abiertos para recopilar información clave sobre los servicios y el software que se ejecutan en cada puerto. Esta información se emplea para identificar software de alto riesgo y otras vulnerabilidades que afectan a la postura de ciberseguridad de la organización, y para determinar las áreas de debilidad que deben mejorarse a lo largo del proceso de ciberseguridad del cliente.

¿Qué tipo de vulnerabilidades intenta detectar el análisis?

Beazley Security busca puertos abiertos, servicios expuestos, vulnerabilidades de software y otros factores de riesgo importantes asociados a una organización. Estos factores de riesgo se agrupan en varias áreas:

• Superficie de ataque: Nombres de host, direcciones IP y vulnerabilidades conocidas que están siendo explotadas.
• Seguridad del correo electrónico: Claves DKIM, configuraciones DMARC y configuraciones SPF.‍
• Certificados de seguridad: Certificados caducados y activos sin cifrado.
• Software de alto riesgo: Software que no debería estar expuesto directamente a Internet.

Este tipo de vulnerabilidades aumenta la exposición a los ciberataques y permite evaluar la postura de ciberseguridad de una organización.

¿Qué son las vulnerabilidades conocidas que están siendo explotadas (KEV)?

Las vulnerabilidades conocidas que están siendo explotadas (Known Exploited Vulnerabilities, KEV) son debilidades en software, hardware o aplicaciones que están siendo utilizadas activamente por atacantes. La U.S. Cybersecurity and Infrastructure Security Agency (CISA, Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos) mantiene un catálogo de KEV para informar a las organizaciones sobre los riesgos. Las KEV se consideran las amenazas más inmediatas y deben priorizarse para reducir los riesgos de ciberseguridad.​ Si se identifican vulnerabilidades conocidas que están siendo explotadas, los resultados aparecerán en la sección Superficie de ataque del Informe sobre la postura de seguridad.

¿Qué software de alto riesgo requiere acción?

La tabla siguiente muestra el software de alto riesgo que Beazley requiere abordar antes de vincular una póliza de seguro con Beazley. Si el análisis de Karma detecta que alguno de estos programas está disponible en el perímetro de internet de una organización, se mostrará en la sección Software de alto riesgo del Informe sobre la postura de seguridad, junto con un indicador de «Acción requerida». Las organizaciones podrán hacer clic en el botón «Fix It» (Soluciónalo) para iniciar el proceso de corrección necesario y solicitar asistencia adicional a través del chat o por teléfono si fuera necesario.

Puede que Beazley Security haya identificado otros programas de alto riesgo, pero los elementos anteriores son los únicos que actualmente exige abordar antes de vincular una póliza de seguro con Beazley.

¿Qué acción debe emprender una organización después de revisar los resultados del informe?

Después de revisar los resultados del informe, identifique qué problemas se deben resolver:

• Acción requerida: Estos son problemas críticos de seguridad que Beazley requiere que se aborden antes de adquirir o renovar su póliza de seguro cibernético.
• Acción recomendada: Estos son problemas críticos de seguridad que recomendamos encarecidamente corregir lo antes posible. No es necesario abordar estos temas para avanzar en el proceso de seguro, pero continúan representando un riesgo considerable para su organización.
• Acción sugerida: Estos son problemas de riesgo moderado que recomendamos solucionar cuando sea posible. Abordar estos aspectos mejorará su postura de seguridad y reducirá el riesgo para su organización.
• Revisión necesaria: Estos son hallazgos informativos que se deben investigar más a fondo para comprobar si reflejan la configuración prevista.‍
• Sin problemas detectados: Estas áreas no presentan problemas que informar. No es necesario realizar ninguna acción.

Si la persona que recibe el informe dentro de la organización no dispone de las habilidades técnicas necesarias para resolver los problemas, Beazley Security recomienda compartir el informe con el proveedor de TI para recibir asistencia adicional. Si surgen preguntas técnicas sobre el informe, la organización puede enviar una solicitud de asistencia al servicio de soporte de Attack Surface Management (ASM) a través del correo [email protected] , o utilizar directamente la función de chat disponible en las guías «Fix It» (Soluciónalo) relacionadas. Para garantizar una respuesta rápida, incluya la fecha del análisis, la organización para la que se preparó el informe y el dominio de la organización al contactar con el soporte.

¿Qué son las guías «Fix It» (Soluciónalo)?

Las guías Fix It de Beazley Security están diseñadas para proporcionar a las organizaciones asistencia técnica y orientación sobre cómo resolver los problemas identificados con mayor frecuencia. Estas guías se pueden consultar directamente desde el Informe sobre la postura de seguridad e incluyen una serie de preguntas interactivas para asegurar que el contenido se aplique al software o la infraestructura de la organización.

Además, Beazley Security ha creado guías Fix It relacionadas con cuatro controles principales de suscripción de Beazley. Estos controles representan medidas de seguridad esenciales que se deben implementar para mejorar la resiliencia de una organización frente a las amenazas cibernéticas. Adoptar estas medidas constituye un paso proactivo para mitigar riesgos.

• MFA en el correo electrónico basado en web
• MFA en soluciones de acceso remoto
• Copias de seguridad de datos críticos
• Implementar antivirus / EPP

¿Qué ocurre si el informe muestra vulnerabilidades de un proveedor externo?

El Informe sobre la postura de seguridad puede mostrar direcciones IP, nombres de host o vulnerabilidades asociadas a un tercero, como un proveedor de servicios gestionados, un proveedor de software como servicio (software-as-a-service) o un proveedor de TI. Los hallazgos asociados a un tercero continúan formando parte de la infraestructura de red de una organización y contribuyen a su superficie general de ataque. Dado que estos problemas pueden servir como vector de ataque hacia la propia red de la organización, también es importante abordarlos.

En estos casos, Beazley Security recomienda que las organizaciones trabajen con el proveedor externo para resolver los problemas identificados en el SPR.

¿Existen posibles vulnerabilidades de red que este informe podría no detectar?

Sí. El Informe sobre la postura de seguridad proporciona información valiosa sobre la red de una organización, pero Karma funciona identificando de forma pasiva los problemas y no es una solución de «análisis de vulnerabilidades». Por lo tanto, Karma no puede detectar todas las vulnerabilidades potenciales. Las amenazas de seguridad evolucionan constantemente, por lo que algunos riesgos pueden pasar inadvertidos y otros pueden aparecer después de la fecha del análisis. Incluso si no se identifican vulnerabilidades en el informe o si se abordan todos los problemas enumerados, el panorama de riesgo sigue cambiando, y es importante que la organización mantenga la conciencia sobre su postura de seguridad más allá de este informe.

¿Qué nivel de soporte puede ofrecer Beazley Security a una organización?

Beazley Security brinda apoyo a las organizaciones respondiendo a preguntas generales y técnicas relacionadas con el Informe sobre la postura de seguridad y las guías Fix It. Sin embargo, Beazley Security no resuelve directamente ni realiza cambios en nombre de la organización para abordar los riesgos identificados en el informe. En su lugar, las organizaciones deben trabajar directamente con su proveedor de TI para implementar los cambios necesarios.

Si se necesita asistencia adicional, los servicios profesionales de Beazley Security pueden intervenir para analizar posibles soluciones. Para obtener más información sobre las capacidades de nuestros Servicios profesionales y cómo Beazley Security puede ayudarle a reducir el riesgo, visite Contacte con nosotros o consulte nuestro folleto de capacidades.

Si tiene preguntas sobre el contenido técnico del informe o para comentar determinados hallazgos, póngase en contacto con el soporte de Attack Surface Management (ASM) a través de la siguiente dirección de correo electrónico: [email protected]. Para garantizar una respuesta rápida, incluya la fecha del análisis, la organización para la que se preparó el informe y el dominio de la organización al contactar con el soporte.

Si tiene preguntas sobre su póliza de seguro o cualquier otro asunto relacionado con el seguro, comuníquese con su corredor de seguros autorizado.

Los estándares y controles de suscripción mencionados en esta comunicación son determinados por Beazley, y las decisiones sobre el cumplimiento de dichos estándares o controles corresponden a Beazley.

Última actualización: Abril de 2025

‍