El ciclo
La gestión de vulnerabilidades es el proceso recurrente de identificar fallos conocidos en los activos de la organización, ordenarlos, corregirlos y comprobar que la corrección funcionó.
El ciclo es maduro y está bien documentado. Barrido, triaje, atribución, corrección, verificación, y otra vez. La mayoría de las empresas de porte lo tiene funcionando desde hace años.
Por qué la cola nunca se vacía
Porque la entrada supera a la salida, estructuralmente.
Se publican CVE nuevas todos los días, y el parque crece. Una organización que corrige mil elementos por trimestre y recibe mil doscientos no está fallando en la ejecución: opera en un régimen donde la acumulación es la condición normal.
La consecuencia práctica es que la pregunta deja de ser cómo vaciar la cola y pasa a ser qué hacer primero. Y ahí es donde la mayoría de los programas se equivoca, porque ordena por gravedad técnica.
El problema de ordenar por gravedad
El CVSS describe el daño potencial de un fallo en condiciones ideales para el atacante. No sabe si ese componente es alcanzable en su entorno, ni si alguien lo está explotando hoy.
El resultado es una cola cuyo orden no guarda relación con el riesgo. Fallos de 9.8 publicados hace años sin exploit conocido ocupan la cima. Fallos de nota media en campaña activa quedan en la posición 400. El equipo trabaja de arriba abajo, con disciplina, y el elemento que iba a derribar la empresa sigue parado.
Tres señales reordenan mejor: explotación confirmada en el mundo real, existencia de exploit público funcional, y probabilidad estimada de explotación a corto plazo. Sumadas al radio de impacto, dan un orden que corresponde al riesgo.
El punto ciego que la disciplina tiene por construcción
La gestión de vulnerabilidades trabaja sobre el inventario que recibió. Es excelente en eso y ciega para lo que está fuera de la lista.
Un activo que nadie registró no se barre, no genera hallazgo y no aparece en informe alguno. El informe sale limpio sobre un alcance incompleto, y lo limpio es peor que lo vacío, porque produce confianza.
Por eso la disciplina se completa con la gestión de la superficie de ataque, que responde otra pregunta: qué activos existen. Una produce la lista, la otra trabaja sobre ella.
Sobre medir
El MTTR mide la capacidad de ejecución del equipo y nada más. El recuento de elementos abiertos mide el volumen que produce la herramienta. Ninguno dice si la cola está en el orden correcto.
El número que responde eso es la proporción de hallazgos que pasaron por validación de explotabilidad, porque separa la cola de hallazgos de la cola de problemas.