Apagar cuesta menos que corregir
Toda exposición tiene dos salidas: corregirla o quitarla. Corregir exige ventana de mantenimiento, prueba de regresión y alguien que conozca la aplicación. Quitar exige descubrir que existe y confirmar que nadie la usa.
En la práctica, una parte relevante de lo que está expuesto no debería estarlo. Un entorno de preproducción publicado a internet, un panel de administración sin restricción de origen, un servicio de un proyecto cerrado, un subdominio apuntando a un bucket que ya se borró. Nada de eso necesita parche. Necesita apagarse.
Esa es la mitad menos discutida del trabajo de superficie de ataque, y es la que da resultado más rápido.
El orden que funciona
Primero lo que está expuesto y bajo explotación activa. Servicios de acceso remoto, VPN, cortafuegos, appliances perimetrales y portales de autenticación, en ese orden, antes de cualquier elemento interno de severidad alta.
Después lo que está expuesto sin motivo. Aquí la pregunta no es "cuál es la nota CVSS", es "alguien lo usa". Un inventario con responsable por activo contesta eso en minutos; sin responsable, la respuesta tarda semanas y normalmente nadie apaga nada, por miedo.
Por último, lo que está expuesto por necesidad y necesita control: restricción de origen, autenticación fuerte, segmentación.
Por qué se atasca
Se atasca por falta de atribución. Nadie apaga un servicio sin saber quién depende de él, y la mayoría de los inventarios no tiene esa información. Por eso el descubrimiento continuo que atribuye cada activo a una unidad de negocio cambia el resultado más que cualquier escáner: convierte "no sé si puedo apagarlo" en "puedo, y el responsable es este equipo".
Cómo medirlo
Contar activos expuestos a lo largo del tiempo, no vulnerabilidades corregidas. Un programa que corrige mil fallos y mantiene la misma superficie no redujo riesgo; cambió de cola. La métrica honesta es cuántos puntos de entrada existían al principio del trimestre y cuántos existen al final.