La evolución del programa de divulgación de vulnerabilidades de Datto

Ha pasado poco más de un año desde que Datto lanzó su Programa de Divulgación de Vulnerabilidades (VDP), en noviembre de 2020. Seis meses después, publicamos un blog titulado «Seguridad para MSP: VDP, programas de recompensas por errores y divulgación responsable», en el que ofrecíamos orientación y consejos sobre cómo participar de manera significativa en un VDP. Nos tomó varios meses de discusiones internas decidir si queríamos lanzar nuestro propio Programa de Divulgación de Vulnerabilidades o Programa de Recompensas por Errores (BBP). También tuvimos que decidir si queríamos administrar el programa nosotros mismos o seguir la vía tradicional de subcontratar esta tarea a un proveedor externo.

Después de analizar nuestras opciones y comprender a fondo lo que ofrecen los programas de terceros, decidimos implementar nuestro propio Programa de Divulgación de Vulnerabilidades administrado por Datto. Administrar nuestro propio programa resultó ventajoso debido a la flexibilidad que ofrecía. Aunque aprendimos muchas lecciones valiosas en el camino, de las que hablaremos más adelante, fue la decisión correcta en ese momento, ya que nos permitió poner a prueba nuestro Programa de Corrección de Vulnerabilidades, recientemente actualizado y mejorado, administrado por nuestra actual directora de Seguridad de Aplicaciones, Emilyann Fogarty.

Debido a la dificultad para anticipar la participación en el programa, finalmente decidimos actuar con cautela deliberada en muchos elementos de nuestro VDP. Estos elementos incluyen secciones de la política como el alcance, las expectativas, el reconocimiento, entre otros. El objetivo de esta primera versión de nuestro VDP sería simplemente comprender qué tan bien estaban funcionando nuestros procesos internos, desde la recepción de reportes hasta la corrección de los productos.

En el primer mes del programa, recibimos una sola notificación. Al mes siguiente, recibimos dos. Recuerdo haber pensado: «Bueno, esto no está tan mal». Luego, en enero de 2021, recibimos seis notificaciones. Afortunadamente, ninguna de ellas resultó ser una vulnerabilidad confirmada ni un riesgo de seguridad significativo, y todas se cerraron o se marcaron como sugerencias de mejora para tenerlas en cuenta en el desarrollo futuro del producto.

En febrero de 2021 volvimos a recibir seis notificaciones, pero esta vez una de las vulnerabilidades reveladas obtuvo una calificación CVSS interna crítica. Me enorgullece compartir que los responsables del producto y los desarrolladores pudieron iniciar el proceso de control de calidad en un plazo de 27 días y corrigieron por completo la vulnerabilidad revelada en 35 días, a pesar de la naturaleza un tanto compleja de la misma. Esta tendencia en los plazos de corrección se mantuvo a lo largo de todo el año 2021. El tiempo promedio de corrección para todos los productos combinados fue de unos impresionantes 35,8 días, lo que supera con creces el plazo estándar de la industria de 90 días. Esto representa el ciclo de vida completo de la divulgación, desde el informe inicial, pasando por la clasificación, hasta la corrección total, en la que la solución se implementa en producción.

La tendencia de aceleración en las notificaciones continuó. En el segundo trimestre, el número de notificaciones se duplicó en comparación con el primer trimestre, y para finales de año recibíamos una notificación que pasaba por nuestro proceso de clasificación cada 1,8 días hábiles. Aprendimos mucho sobre cómo mejorar nuestros productos a través de nuestros nuevos procesos del Programa de Divulgación Voluntaria de Vulnerabilidades (VDP), nuestros procesos internos de corrección de vulnerabilidades y algunos de los retos que implica organizar y administrar un Programa de Divulgación de Vulnerabilidades.

En los primeros meses del Programa de Divulgación Voluntaria (VDP), los participantes enviaban correos electrónicos a una bandeja de entrada que activaba directamente a nuestro equipo de respuesta a incidentes. Desde el principio nos dimos cuenta de que probablemente ese no era el mejor enfoque a largo plazo. Si bien todas las divulgaciones deben pasar por nuestro proceso interno de clasificación, es posible que algunas no requieran la intervención del equipo de respuesta a incidentes. Por ello, en abril de 2021, decidimos comenzar a recibir los informes de vulnerabilidades a través de [email protected]. En ese momento, el VDP aún estaba a cargo del equipo de Seguridad Ofensiva de Datto, quien era totalmente responsable de la clasificación, la creación de tickets, el seguimiento de las correcciones y la comunicación con los participantes.

Quiero hacer una pausa por un momento en mi explicación sobre nuestro Programa de Divulgación de Vulnerabilidades (VDP), porque en Datto estaba ocurriendo algo más muy importante y fundamental para el éxito del VDP. En 2019, varios de nuestros ingenieros de seguridad comenzaron a emprender nuestro proceso del Modelo de Madurez para la Integración de la Seguridad (BSIMM). 

VDP v2.0 de Datto

Hoy me da mucho gusto anunciar que Datto ha lanzado oficialmente la versión 2.0 de nuestro Programa de Divulgación de Vulnerabilidades.

Gracias al crecimiento continuo de nuestro Programa de Gestión de Vulnerabilidades, a las capacidades y recursos ampliados que aportan los «Security Champions», a los datos recopilados durante un año por nuestro VDP y a un equipo dedicado a la seguridad de aplicaciones que nos ayuda a mantener y administrar el programa, nos sentimos listos para dar el siguiente paso.

Aprendimos mucho de nuestro primer año, pero me voy a centrar en algunos de los retos que identificamos y decidimos abordar como parte de los próximos pasos para el VDP. Estos fueron seleccionados gracias a los comentarios de los participantes con quienes trabajamos directamente, a los comentarios continuos de diversas comunidades de MSP y a las opiniones de otros profesionales de la seguridad. A través de estos comentarios y de nuestro reconocimiento de la importancia de mejorar el VDP como servicio, identificamos tres objetivos principales:

• Mejorar nuestros propios procesos internos en previsión de un aumento del alcance
• Seguir promoviendo una experiencia positiva y colaborativa para los participantes del programa y los productos de Datto
• Mejorar la flexibilidad y la transparencia del programa

Mejorar nuestros procesos internos

Desafío: ¿Cómo podemos dar un mejor seguimiento y organizar mejor la información divulgada?

Lecciones aprendidas

• La migración a [email protected] permitió crear una fuente centralizada de información sobre los participantes en el programa, lo que mejoró el seguimiento y la comunicación.
• Llevar un registro de las divulgaciones mediante una hoja de cálculo no era viable a largo plazo.

Solución

• Implementamos un flujo de trabajo automatizado y adaptado al VDP para dar seguimiento a las métricas y al estado de las medidas correctivas, así como para mejorar la comunicación con los participantes.
• Nos comprometemos a cumplir con un acuerdo de nivel de servicio (SLA) de comunicación y estamos automatizando nuestra visibilidad para alcanzar estos objetivos.

Seguir promoviendo una experiencia positiva y colaborativa para los participantes del programa y los productos de Datto

Desafío: ¿Cómo podemos reducir la ambigüedad y la subjetividad en torno a lo que constituye una divulgación válida?

Lecciones aprendidas

• Nuestra política de VDP no permitió a los participantes comprender el sistema de puntuación de gravedad que utiliza Datto para abordar la corrección de vulnerabilidades.
• Nuestras directrices sobre la política de VDP eran poco claras en cuanto a lo que constituye una divulgación válida y de impacto.

Solución

• Hemos actualizado nuestra política de VDP para incluir orientaciones adecuadas sobre lo que está dentro y fuera del alcance.
• Hemos actualizado el texto relativo a lo que constituye una divulgación aceptable.

Desafío: ¿Cómo podemos mejorar la comunicación entre Datto y los participantes?

Lecciones aprendidas

• El momento en que se realiza la comunicación podría parecer inconsistente para los participantes.
• A veces nos comunicábamos a diario; otras veces, las actualizaciones solo se realizaban una vez al mes o cada par de meses.
• Los investigadores de seguridad preferirían trabajar directamente con Datto en lugar de con un tercero o una plataforma de colaboración colectiva.
• La versión 1.0 del VDP ofrecía recompensas que oscilaban entre los 20 y los 2,000 dólares estadounidenses, con un pago promedio de alrededor de 210 dólares. La falta de transparencia en cuanto al rango potencial de las recompensas, así como a los criterios para determinar el pago, fue un motivo frecuente de descontento entre los participantes.

Solución

• Hemos actualizado nuestra política del Programa de Recompensas por Vulnerabilidades (VDP) para definir mejor qué pueden esperar los participantes del programa de parte de Datto. Esto incluye las expectativas de comunicación, que ahora se basan en la calificación interna de gravedad que se asigna a las notificaciones válidas. Nuestra intención es garantizar que haya un flujo de comunicación bidireccional predecible y receptivo en todo momento.
• Hemos actualizado nuestra política del VDP para definir mejor lo que nosotros (Datto) esperamos de los participantes, con el fin de garantizar una clasificación oportuna de los reportes.
• Hemos actualizado las recompensas del programa VDP para incluir un nuevo rango de pagos de entre 101 y 10 101 dólares estadounidenses.
• Hemos mejorado la transparencia en torno al proceso de toma de decisiones sobre las recompensas. Aunque reconocemos que aún nos queda trabajo por hacer en este aspecto.

Mejorar la flexibilidad y la transparencia del programa

La mejora de la flexibilidad y la transparencia del programa se logra de manera inherente al esforzarnos por alcanzar nuestros dos primeros objetivos. Esto es especialmente cierto en el caso de nuestro segundo objetivo: «seguir promoviendo una experiencia positiva y colaborativa para los participantes del programa y los productos de Datto». Para lograrlo, se requiere un cierto grado de transparencia y honestidad de nuestra parte. Esto ayuda a los participantes tanto a proporcionarnos informes de alta calidad como a comprender qué pueden esperar de nosotros al participar en el programa. Nuestro primer objetivo, «mejorar nuestros propios procesos internos en previsión de un crecimiento del alcance», nos ayuda a ofrecer un nivel de transparencia y consistencia al garantizar que los procesos internos puedan satisfacer las necesidades de nuestros productos, de los participantes y de AppSec en su conjunto.

Desafío: ¿Cómo podemos dar respuesta a la creciente necesidad de transparencia en torno al trabajo de seguridad y a nuestro VDP?

Lecciones aprendidas

• Algunos participantes y miembros de la comunidad han interpretado el texto inicial del VDP como restrictivo en lo que respecta a su capacidad para dar a conocer públicamente su trabajo. En realidad, aún no hemos impedido a ningún investigador que divulgue sus hallazgos. Puede ser difícil complacer a todos, especialmente cuando no se aplica el proceso. Sin embargo, creemos que hay margen para actualizar nuestro texto y trabajar para corregir los problemas de percepción, a fin de reflejar mejor la realidad que los investigadores han experimentado al trabajar con nosotros.

Solución

• Hemos actualizado el VDP con algunas aclaraciones, entre las que se incluye lo siguiente: «En cumplimiento de nuestro compromiso con la colaboración y la transparencia, el equipo de Seguridad de la Información de Datto no negará la aprobación de la divulgación a menos que Datto considere, de buena fe, que la confidencialidad es necesaria para evitar un daño significativo».

El VDP renovado y más allá

¿Por qué hemos decidido actualizar el programa existente en lugar de pasar a un programa de terceros? Como parte del trabajo de actualización del VDP, queríamos comprender las necesidades de nuestros socios y de la comunidad en general. También buscamos entender las consecuencias de elegir a un tercero para ampliar nuestro VDP y BBP, en comparación con seguir administrando nuestros propios programas.

Al hablar con algunos de estos proveedores externos, quedó cada vez más claro que muchas de las empresas que optaban por utilizarlos lo hacían, posiblemente, debido a la falta de procesos y capacidades internas. Un proveedor en particular nos aconsejó que sería mejor ampliar nuestro VDP existente en lugar de utilizar su plataforma. Nuestra propia investigación indicó algo similar; el hecho de que una empresa utilizara un proveedor externo para su VDP o BBP no significaba que estuviera respondiendo a las divulgaciones de manera oportuna, ni que se estuviera comprometiendo a tomar medidas correctivas o a comunicarse.

Tras analizar los datos de todo un año, estábamos seguros de que ya contábamos con la capacidad para procesar las denuncias y pagar las recompensas, al tiempo que facilitábamos una mejor experiencia general sin necesidad de recurrir a una plataforma común de terceros. Tenemos previsto realizar mejoras continuas al programa a lo largo de varias fases que aportarán mejoras graduales y cambios importantes, todas ellas diseñadas intencionalmente para ofrecer más flexibilidad, visibilidad y transparencia a los participantes.

Esta actualización es solo el primer paso en la evolución de nuestro VDP, mientras trabajamos para brindar la mejor experiencia posible a los participantes y, en última instancia, mejorar la seguridad de las aplicaciones de nuestros productos y servicios. En Datto, creemos que la seguridad es un trabajo en equipo y es responsabilidad de todos. Nos esforzamos por seguir forjando esa cultura tanto a nivel interno como externo. No podría estar más orgulloso del trabajo que hemos logrado en los últimos dos años y espero con interés futuras comunicaciones en las que compartamos los avances que hayamos logrado.