Una organización puede tener 500, 5.000 o 50.000 vulnerabilidades abiertas.
Ese número describe una parte de su realidad técnica, pero no dice cuántas decisiones debe tomar hoy.
La diferencia es importante porque los equipos no disponen de capacidad infinita. Hay ventanas de cambio, aplicaciones que no pueden detenerse, dependencias con proveedores, pruebas pendientes, sistemas heredados, responsables distintos y riesgos operativos asociados a cada corrección.
Por eso una de las preguntas que más me interesa en gestión de vulnerabilidades no es:
¿Cuántos hallazgos tenemos?
Sino:
¿Cuáles de esos hallazgos justifican consumir capacidad de remediación primero?
El volumen puede crear una falsa sensación de precisión
Una plataforma puede entregar una lista perfectamente ordenada por severidad y aun así dejar sin resolver la decisión más importante.
Si aparecen cientos de vulnerabilidades críticas y altas, el equipo sigue necesitando determinar:
- cuáles afectan activos realmente importantes;
- cuáles están expuestas a atacantes o terceros;
- cuáles tienen evidencia o probabilidad significativa de explotación;
- cuáles cuentan con controles que reducen temporalmente la exposición;
- cuáles pueden corregirse sin comprometer la operación;
- cuáles necesitan una decisión de negocio y no solo una acción técnica.
El problema no es que la lista sea incorrecta. El problema es asumir que una lista técnica ya constituye un plan de trabajo.
La capacidad de remediación también es un recurso de riesgo
En muchas organizaciones, la gestión de vulnerabilidades se evalúa como si el único objetivo fuera cerrar la mayor cantidad posible de hallazgos.
Eso puede producir comportamientos poco útiles.
Un equipo puede cerrar cien vulnerabilidades de baja importancia porque son fáciles de corregir y mostrar un avance considerable en el tablero. Mientras tanto, una exposición más compleja sobre un sistema crítico puede permanecer abierta porque requiere coordinación, pruebas o una ventana especial.
El número de cierres aumenta.
El riesgo importante quizá no cambia.
Por eso considero que la capacidad de remediación debe administrarse como un recurso limitado. La pregunta no es solamente qué está mal, sino dónde produce más valor la siguiente hora, cambio o intervención disponible.
Una prioridad necesita más que severidad
Para reducir una lista extensa a una cola de decisiones útiles, suelo pensar en varias señales combinadas.
Importancia del activo
¿Qué función soporta? ¿Qué ocurre si se compromete o queda indisponible? ¿Contiene información sensible? ¿Permite administrar otros sistemas?
Exposición
¿Está publicado en Internet? ¿Es alcanzable desde redes de usuario? ¿Un tercero puede acceder? ¿Puede utilizarse como punto de paso hacia otros activos?
Amenaza y explotabilidad
¿Existe evidencia de explotación? ¿Hay herramientas o técnicas disponibles? ¿La actividad observada en el mundo real hace más probable que el hallazgo sea utilizado?
Controles existentes
¿La vulnerabilidad está aislada, segmentada o protegida por controles compensatorios? ¿Esos controles han sido comprobados o solo asumidos?
Factibilidad de tratamiento
¿Existe parche? ¿Requiere pruebas? ¿Hay una ventana disponible? ¿El cambio introduce un riesgo operativo mayor? ¿Puede aplicarse una mitigación temporal?
Ninguna señal resuelve por sí sola la prioridad. El valor aparece al ponerlas en contexto.
La exposición desconocida compite con la vulnerabilidad conocida
Hay otro problema que puede quedar oculto cuando toda la conversación gira alrededor de una lista de vulnerabilidades.
La lista solo representa aquello que la organización conoce y está evaluando.
Un activo nuevo, un servicio publicado sin registro, una dirección expuesta, una aplicación olvidada o un sistema que dejó de escanearse puede representar más riesgo que muchos hallazgos correctamente inventariados.
Por eso la gestión de vulnerabilidades y la gestión de exposición están estrechamente relacionadas.
Antes de perfeccionar un ranking conviene preguntar:
- ¿estamos viendo los activos correctos?;
- ¿la cobertura es suficiente?;
- ¿los datos son recientes?;
- ¿sabemos qué está realmente expuesto?;
- ¿hay activos desconocidos fuera del proceso?
No se puede priorizar bien aquello que no se conoce.
Priorizar es crear una cola que pueda ejecutarse
Una prioridad útil debería terminar en algo accionable.
No basta con asignar un número más alto.
Para mí, un hallazgo verdaderamente priorizado debería tener, como mínimo:
- una razón clara para estar arriba en la lista;
- un activo y un contexto comprendidos;
- una acción de tratamiento o mitigación;
- un responsable;
- un horizonte de tiempo;
- una decisión sobre excepciones si no puede corregirse;
- y una forma de comprobar después si la exposición realmente disminuyó.
Ese último punto es especialmente importante.
Aplicar un parche no es lo mismo que demostrar que el riesgo fue tratado.
La remediación necesita validación.
El tablero también puede engañar
Hay métricas muy fáciles de producir:
- vulnerabilidades totales;
- críticas;
- altas;
- cerradas este mes;
- porcentaje de cumplimiento de SLA.
Son útiles, pero pueden ser insuficientes.
Para dirección, me parecen más valiosas preguntas como:
- ¿qué riesgo severo permanece sobre activos críticos?;
- ¿qué exposiciones importantes llevan demasiado tiempo abiertas?;
- ¿qué hallazgos están bloqueados y por qué?;
- ¿qué excepciones están próximas a vencer?;
- ¿qué problemas reaparecen después de ser corregidos?;
- ¿la exposición importante está disminuyendo o solo estamos cerrando volumen?
La diferencia es pasar de medir actividad a medir decisiones y reducción de exposición.
Una lista más pequeña puede ser una señal de madurez
A veces se interpreta que una buena operación debe mostrar cada vez más datos.
Yo no lo veo necesariamente así.
Una operación madura puede tener una gran cantidad de información técnica detrás, pero presentar a cada audiencia solamente aquello que necesita para actuar.
El equipo de remediación necesita detalle.
El responsable de una plataforma necesita saber qué debe corregir y cuándo.
La dirección necesita comprender riesgo residual, bloqueos, tendencia y decisiones pendientes.
La priorización también consiste en reducir complejidad sin perder contexto.
Una conclusión práctica
Tener 10.000 vulnerabilidades no significa tener 10.000 prioridades.
Significa que existe un conjunto grande de señales técnicas que debe transformarse en una cantidad mucho menor de decisiones ejecutables.
El valor de una práctica de gestión de vulnerabilidades no está en producir la lista más extensa ni en cerrar el mayor volumen posible.
Está en conseguir que una capacidad limitada de remediación se concentre primero en aquello que puede cambiar de forma significativa la exposición y el riesgo.