El desplazamiento respecto a la gestión de vulnerabilidades
La gestión de vulnerabilidades pregunta qué fallos existen en los activos que conozco. La gestión de exposición pregunta qué alcanza un adversario desde fuera, incluido lo que no está en el inventario, y cuánto de eso puede usar hoy.
La diferencia aparece en la unidad de trabajo. En el primer modelo, el elemento es la CVE. En el segundo, es el camino: un activo concreto, alcanzable de una forma concreta, con un fallo que tiene explotación conocida, sosteniendo un proceso de negocio concreto.
Por qué falla la cola por CVSS
El CVSS mide el daño potencial de un fallo en condiciones ideales para el atacante. No dice nada sobre la probabilidad de que alguien lo intente. Hay CVE con 9.8 publicadas hace años sin un solo exploit conocido, y fallos de puntuación media en campañas activas ahora mismo.
El resultado es una cola que gasta la capacidad del equipo en elementos graves sobre el papel mientras el que el adversario usará la semana que viene queda intacto.
Tres señales mejoran la ordenación, y ninguna es el CVSS: presencia en el catálogo CISA KEV, existencia de exploit público funcional y probabilidad alta en EPSS. La cuarta, la que más importa, es saber qué está bajo ataque ahora.
Qué exige la disciplina en la práctica
Un inventario que se actualiza solo, porque el activo olvidado es justo el que se convierte en puerta de entrada. Atribución de propiedad, porque sin responsable nada se corrige ni se apaga. Validación, porque exposición detectada no es exposición explotable. Y movilización, que es convertir todo eso en tickets con plazo, donde se atasca la mayoría de los programas.
El marco que organiza este ciclo en cinco fases es CTEM.