Desafío en seguridad de cadena de suministro de software

La seguridad de la cadena de suministro de software sigue siendo un desafío para las organizaciones

A pesar de la creciente conciencia sobre la importancia de crear una cadena de suministro de software confiable y segura, la mayoría de las organizaciones siguen luchando por implementar una estrategia efectiva al respecto. Esto se evidencia en el último informe de Slim.ai sobre contenedores, el cual revela que solo el 12% de los líderes de seguridad encuestados lograron alcanzar sus objetivos de remediación de vulnerabilidades.

El informe destaca que las organizaciones ahora despliegan en promedio más de 50 contenedores de sus proveedores cada mes, y casi el 10% despliega más de 250 contenedores. Sin embargo, a pesar de esta alta adopción, la mayoría de las organizaciones se enfrentan a dificultades significativas en la remediación de vulnerabilidades, y consideran que hay un amplio margen de mejora en este aspecto.

La falta de acuerdo entre los proveedores y los compradores sobre qué vulnerabilidades deben ser parcheadas en un contenedor es uno de los principales obstáculos. Según Ayse Kaya, vicepresidenta de Estrategia y Análisis de Slim.ai, la interacción entre compradores y proveedores aún se basa en el intercambio de hojas de cálculo y reuniones ad hoc entre los grupos de seguridad. Aunque el 84% de los líderes de seguridad desearían contar con una plataforma de colaboración centralizada para gestionar las vulnerabilidades, actualmente el intercambio de hojas de cálculo por correo electrónico sigue siendo el estado del arte.

Esta falta de eficiencia se traduce en un mayor esfuerzo y tiempo dedicado a la remediación de vulnerabilidades. Según el informe de Slim.ai, la mayoría de las organizaciones emplean al menos seis especialistas que se enfocan en la remediación de vulnerabilidades, y el 40% de las alertas que reciben son falsos positivos. Esto genera interrupciones frecuentes en el proceso de desarrollo, ya que las empresas detectan vulnerabilidades en los contenedores en producción varias veces a la semana.

Para abordar estos desafíos, Slim.ai recomienda la creación de imágenes de contenedores mínimas, lo cual reduce la superficie de ataque y disminuye los falsos positivos. Además, el informe destaca que los contenedores ahora experimentan un promedio de una nueva versión cada 11 días, y cada contenedor se ve afectado por un promedio de 311 CVEs (Vulnerabilidades y Exposiciones Comunes), lo que implica un mayor trabajo y esfuerzo para colaborar con los proveedores y solucionarlos.

En resumen, la seguridad de la cadena de suministro de software sigue siendo un desafío para las organizaciones, a pesar de la creciente adopción de contenedores. La falta de una colaboración centralizada y eficiente entre compradores y proveedores, así como la presencia de falsos positivos y la interrupción frecuente del proceso de desarrollo, dificultan la remediación de vulnerabilidades. Para superar estos desafíos, se recomienda la adopción de mejores prácticas, como la creación de imágenes de contenedores mínimas, y la implementación de soluciones de colaboración más eficientes en la gestión de vulnerabilidades.