DefiniciónLa gestión de vulnerabilidades es el proceso continuo de identificar, priorizar, corregir y verificar fallas de seguridad en sistemas, aplicaciones y dispositivos, con foco en reducir primero el riesgo que realmente puede ser explotado.
Cómo funciona
Es un ciclo, no un proyecto puntual. Las etapas más comunes son:
- Inventario: saber qué activos existen, dónde están y cuánto importan para el negocio.
- Identificación: escaneos recurrentes, internos y externos, además de hallazgos de pentest y boletines de fabricantes.
- Priorización: combinar la severidad técnica (CVSS), la probabilidad de explotación (EPSS), la explotación confirmada (catálogo KEV) y la criticidad del activo.
- Tratamiento: corregir, mitigar con controles compensatorios o aceptar el riesgo formalmente.
- Verificación: confirmar que la falla se cerró y seguir indicadores a lo largo del tiempo.
Por qué priorizar, y no solo corregir
El volumen de CVE publicados cada año supera con creces la capacidad de cualquier equipo. Ordenar la cola solo por CVSS llena la franja "crítica" con miles de elementos y no dice cuáles están siendo atacados. Un orden más eficaz pone arriba lo que está en el KEV y existe en el entorno; luego, las fallas con EPSS alto en activos expuestos; después, las graves en activos críticos; y trata el resto en campañas regulares de actualización.
Gestión de vulnerabilidades vs escaneo y pentest
El escaneo es una herramienta dentro del proceso: encuentra fallas conocidas. El pentest demuestra qué es explotable en un alcance definido. La gestión de vulnerabilidades es el programa que organiza todo esto, define plazos por nivel de riesgo, asigna responsables y muestra a la dirección si la exposición está bajando.
Network Secure ofrece Gestión de Vulnerabilidades como servicio continuo, desde la identificación hasta la verificación de la corrección.
Preguntas frecuentes
¿Cuál es la diferencia entre gestión de vulnerabilidades y escaneo de vulnerabilidades?
El escaneo es el barrido automatizado que encuentra fallas conocidas. La gestión de vulnerabilidades es el proceso completo, que incluye inventario, priorización, corrección y verificación.
¿Es posible corregir todas las vulnerabilidades?
En la práctica, no. Por eso el foco está en priorizar: corregir primero lo que está siendo explotado y existe en activos expuestos o críticos, y tratar el resto en ciclos regulares.