Reducir los falsos positivos: mejorar la eficiencia de la seguridad

Las organizaciones desperdician enormes cantidades de tiempo investigando alertas de seguridad que terminan siendo falsas. Una investigación reciente de mayo de 2025 muestra que el 70 % del tiempo de un equipo de seguridad se dedica a investigar alertas que son falsos positivos. Esto representa una gran pérdida de tiempo en investigaciones, en lugar de aprovecharlo para implementar medidas de seguridad proactivas que mejoren la postura de seguridad de la organización. El problema se agrava porque el 33 % de las empresas se ha retrasado en responder a ciberataques reales porque sus equipos estaban ocupados con estas amenazas fantasma.

¿Qué es la seguridad con una baja tasa de falsos positivos?

La precisión es uno de los principales objetivos de cualquier trabajo de seguridad. Sin embargo, al recopilar y procesar enormes cantidades de datos, siempre existe la posibilidad de que se genere una alerta incorrecta. Un falso positivo es una alerta que parece legítima, pero que, tras investigarla, resulta ser incorrecta. Lamentablemente, estas alertas desperdician recursos valiosos que podrían aprovecharse mejor para investigar amenazas reales.

Las herramientas con altas tasas de falsos positivos generan fatiga por alertas en los equipos de seguridad, que dejan de responder a ellas con la misma prioridad. Después de muchas investigaciones de falsas alarmas, los equipos dan por hecho que es probable que las nuevas alertas también sean falsas y no las revisan con la misma rapidez y eficiencia. Esto hace que las alertas legítimas no se identifiquen ni se gestionen rápidamente, lo que permite que los posibles problemas permanezcan sin resolver durante períodos prolongados.

¿Qué son los falsos negativos?

El problema opuesto ocurre cuando una herramienta no detecta amenazas. Estos falsos negativos son un problema importante, ya que dejan vulnerabilidades sin detectar durante períodos prolongados y debilitan la postura de seguridad de la organización. Esto es especialmente preocupante porque otras herramientas podrían detectar estos problemas, lo que permite que los atacantes encuentren puntos débiles mientras tu organización no está al tanto. No detectar amenazas reales complica las estrategias de respuesta y dificulta la gestión y mitigación de riesgos. En última instancia, estas amenazas no detectadas pueden causar daños considerables o pérdida de datos.

¿Por qué son valiosos los verdaderos positivos?

Lo ideal es que las mejores herramientas tengan una alta precisión y generen verdaderos positivos que permitan identificar amenazas reales. Al garantizar la identificación inmediata de amenazas, los verdaderos positivos permiten que las organizaciones respondan rápidamente y mitiguen los posibles peligros, lo que reduce considerablemente el riesgo de daños. Esta detección oportuna no solo ayuda a mejorar los protocolos y sistemas de seguridad con datos valiosos, sino que también reduce el impacto financiero de las brechas de seguridad.

Al mejorar la precisión en la detección de amenazas y vulnerabilidades, las organizaciones pueden aumentar la eficiencia general de su infraestructura de seguridad, reducir los costos operativos y reforzar las medidas de defensa.

Precisión en la seguridad de las aplicaciones (AppSec)

Al analizar la precisión, es importante tener en cuenta que las herramientas se utilizan de distintas maneras en las diferentes áreas de la seguridad de la información. En seguridad de las aplicaciones (AppSec), las herramientas buscan identificar y mitigar vulnerabilidades en aplicaciones de software. Parte de este trabajo se realiza de forma proactiva durante el desarrollo mediante pruebas estáticas de seguridad de aplicaciones (SAST), que analizan el código en busca de debilidades. Otras pruebas se llevan a cabo después de que las aplicaciones entran en funcionamiento, para detectar exposiciones en las aplicaciones y API activas.

Cuando se detectan problemas de AppSec, los equipos deben investigarlos para verificar que sean legítimos. Las herramientas SAST pueden requerir una revisión del código y la colaboración con los equipos para determinar si el problema detectado es real. Los falsos positivos hacen perder tiempo a estos equipos y reducen su confianza en los equipos de AppSec, lo que provoca que tarden más en revisar los hallazgos futuros. Esto es lamentable, ya que las herramientas SAST precisas son muy eficaces para detectar problemas de seguridad y calidad del código, y ayudan a los equipos a entregar código más resiliente.

Los equipos revisan el código en ejecución para realizar pruebas dinámicas de seguridad de aplicaciones (DAST) o pruebas basadas en API, que incluso pueden llevarse a cabo en producción. Estas pruebas ayudan a identificar ataques comunes, como cross-site scripting (XSS), inyecciones SQL y otras amenazas web frecuentes. Las alertas de estas pruebas también requieren tiempo de investigación y comunicación entre equipos. Como suelen afectar a sistemas de producción, es necesario investigar rápidamente los hallazgos y corregirlos antes de que los atacantes puedan detectarlos. Las herramientas con altas tasas de falsos positivos provocan «fatiga por alertas», lo que ralentiza las revisiones de los equipos y deja interfaces potencialmente vulnerables expuestas a ataques.

Precisión en la detección de amenazas

La precisión también desempeña un papel fundamental en la detección de amenazas, donde identificar amenazas de seguridad reales y minimizar las alertas innecesarias es clave para responder rápidamente. A diferencia de la búsqueda de vulnerabilidades en aplicaciones, la detección de amenazas busca patrones de uso que indiquen que se está aprovechando una vulnerabilidad. Sin embargo, muchas herramientas de detección de amenazas analizan enormes volúmenes de datos y generan numerosas alertas con un bajo nivel de confianza que deben investigarse.

Para abordar este problema, muchas organizaciones han recurrido a tecnologías avanzadas como el aprendizaje automático y la inteligencia artificial, que mejoran aún más la precisión de estos sistemas y su capacidad para distinguir las amenazas reales de las anomalías inofensivas.

Obtén hallazgos precisos con Snyk API & Web

Snyk API & Web es una herramienta de gran precisión para desarrollar aplicaciones seguras, con una tasa de falsos positivos extremadamente baja, del 0,08 %. Se especializa en identificar más de 3.000 tipos de vulnerabilidades, incluidas algunas críticas como XSS e inyecciones SQL, y se integra sin problemas en los flujos de trabajo de desarrollo. Esta integración permite realizar evaluaciones de seguridad automatizadas y continuas, lo que mejora considerablemente la eficiencia del desarrollo. Con Snyk API & Web, los desarrolladores pueden proteger las aplicaciones de forma integral durante todo su ciclo de vida y garantizar una sólida protección de los datos confidenciales de tu organización.

Obtén más información sobre cómo Snyk API & Web puede ayudar a proteger tus aplicaciones al ver nuestra demostración a pedido.

Preguntas frecuentes

¿Se pueden eliminar por completo los falsos positivos en seguridad?

Aunque es difícil eliminar por completo los falsos positivos, las mejoras continuas en la tecnología y los procesos pueden reducir significativamente su frecuencia.

¿Cómo equilibran las herramientas de seguridad la sensibilidad y la especificidad?

Las herramientas de seguridad buscan maximizar la sensibilidad (detectar amenazas) y minimizar los falsos positivos para mantener la especificidad y la eficiencia operativa.

¿Qué papel desempeña el aprendizaje automático en la ciberseguridad?

El aprendizaje automático ayuda a mejorar la precisión al detectar amenazas reales y distinguirlas de las actividades benignas, lo que aumenta la eficacia general de la seguridad.