La gestión de vulnerabilidades es la "práctica cíclica de identificar, clasificar, priorizar, remediar y mitigar" las vulnerabilidades del software . [1] La gestión de vulnerabilidades es parte integral de la seguridad informática y de la red , y no debe confundirse con la evaluación de vulnerabilidades . [2]
Las vulnerabilidades se pueden descubrir con un escáner de vulnerabilidades , que analiza un sistema informático en busca de vulnerabilidades conocidas, [3] como puertos abiertos , configuraciones de software inseguras y susceptibilidad a infecciones de malware . También se pueden identificar consultando fuentes públicas, como NVD, actualizaciones de seguridad específicas del proveedor o suscribiéndose a un servicio de alerta de vulnerabilidad comercial. Las vulnerabilidades desconocidas, como un día cero , [3] se pueden encontrar con pruebas difusas . Las pruebas difusas pueden identificar ciertos tipos de vulnerabilidades, como un desbordamiento de búfer con casos de prueba relevantes . Dicho análisis se puede facilitar mediante la automatización de pruebas . Además, el software antivirus capaz de realizar análisis heurísticos puede descubrir malware no documentado si encuentra software que se comporta de manera sospechosa (como intentar sobrescribir un archivo del sistema ).
La corrección de vulnerabilidades puede implicar la instalación de un parche , un cambio en la política de seguridad de la red, la reconfiguración del software o la educación de los usuarios sobre ingeniería social .
La vulnerabilidad de un proyecto es la susceptibilidad del proyecto a estar sujeto a eventos negativos, el análisis de su impacto y la capacidad del proyecto para hacer frente a los eventos negativos. [4] Basada en el Pensamiento Sistémico, la gestión de la vulnerabilidad sistémica del proyecto asume una visión holística y propone el siguiente proceso:
El afrontamiento de los acontecimientos negativos se realiza, en este modelo, a través de:
La redundancia es un método específico para aumentar la resistencia y la resiliencia en la gestión de vulnerabilidades.[5]
La antifragilidad es un concepto introducido porNassim Nicholas Talebpara describir la capacidad de los sistemas no solo de resistir o recuperarse de eventos adversos, sino también de mejorar gracias a ellos. La antifragilidad es similar al concepto decomplejidad positivapropuesto por Stefan Morcov.