Dos fechas, y la distancia entre ellas
La ventana de exposición es el tiempo que un activo estuvo alcanzable y vulnerable antes de que la organización cerrara esa puerta. Se mide con dos fechas: cuándo el activo pasó a responder en internet en ese estado, y cuándo dejó de responder, fue corregido o fue protegido.
La resta es la ventana. Es un número en horas o días, por activo, y la mediana del conjunto describe el programa mejor que cualquier índice compuesto.
Por qué es la métrica que queda
El recuento de vulnerabilidades abiertas mide el volumen que produce la herramienta. Dos empresas con el mismo riesgo real pueden mostrar 3.000 y 40 elementos, según cuántos activos vea cada escáner y cómo clasifique cada una.
El porcentaje corregido dentro del plazo mide la adherencia a un plazo que la propia organización definió. Mejora cuando el plazo se afloja.
La ventana de exposición no tiene ninguna de esas salidas. Se mide contra el reloj del adversario, que nadie de dentro controla, así que no mejora cambiando un criterio interno.
Los dos relojes
Hay dos cronómetros corriendo sobre el mismo activo, y la defensa es la diferencia entre ellos.
El reloj del adversario arranca cuando el activo queda alcanzable. El barrido automatizado de internet entera corre en ciclos de horas, así que ese es el plazo real de descubrimiento del otro lado, sin importar el tamaño de la empresa.
Su reloj arranca cuando alguien del equipo de seguridad sabe que ese activo existe. Si esa fecha llega días después de la primera, el adversario tuvo días de ventaja, y el resto del programa opera sobre un retraso que ninguna priorización recupera.
El caso en que la métrica no se puede calcular
Muchas organizaciones intentan levantar la ventana y descubren que no tienen la primera fecha.
Eso no es un fallo de medición. Es el resultado. No saber cuándo un activo quedó expuesto significa que nadie observa la superficie desde fuera, y esa es la brecha a cerrar antes de cualquier refinamiento de priorización.
Un cuidado anula el número cuando se escapa: medir la ventana contra el propio inventario garantiza un resultado bueno y falso. El activo que importa para la cuenta es justamente el que no estaba en la lista.
Referencias prácticas
Una mediana en horas indica un programa que opera a la cadencia del cambio. Un día es aceptable en la mayoría de los contextos. Una semana significa que cada activo nuevo dio seis días de ventaja antes de entrar en el radar.
La ventana y el MTTR miden cosas distintas y suelen confundirse. El MTTR cuenta desde que el problema entró en la cola. La ventana cuenta desde que pasó a existir, y por eso captura el retraso que el MTTR esconde.