Recursos · Vulnerabilidades
Proceso de gestión de vulnerabilidades: del hallazgo a la corrección
La gestión de vulnerabilidades es el proceso recurrente de encontrar vulnerabilidades en los sistemas, evaluarlas según el riesgo, corregirlas y acreditar la corrección. Lo decisivo no es el número de hallazgos, sino el orden correcto.
Actualizado el 14 de noviembre de 2026
FIGProceso de gestión de vulnerabilidades
Los seis pasos del proceso
- Inventario: sin un inventario de activos completo, hay sistemas que quedan sin revisar (véase Attack Surface Management).
- Detectar: escáneres, agentes y conexiones a la nube aportan hallazgos.
- Evaluar: combinar gravedad, explotabilidad, accesibilidad y valor de negocio.
- Priorizar: fijar el orden según el riesgo y asignar plazos.
- Corregir: parche, cambio de configuración o medida compensatoria.
- Verificar y acreditar: volver a escanear y documentar el resultado.
Por qué CVSS por sí solo no basta
La puntuación CVSS describe la gravedad técnica de una vulnerabilidad, no el riesgo para su empresa. Gran parte de las vulnerabilidades con CVSS alto nunca se explota o afecta a sistemas que ni siquiera son accesibles. Quien trabaja estrictamente según CVSS dedica capacidad a los lugares equivocados.
Mejores señales: EPSS, KEV y rutas de ataque
- EPSS (Exploit Prediction Scoring System de FIRST) estima la probabilidad de que una vulnerabilidad se explote en los próximos 30 días.
- El catálogo KEV de la agencia estadounidense CISA recoge las vulnerabilidades cuya explotación activa está demostrada.
- La accesibilidad y las rutas de ataque muestran si una vulnerabilidad es accesible desde fuera y lleva a sistemas críticos; eso es lo que aporta Exposure Management.
Plazos y evidencias
Los plazos de corrección deberían depender del riesgo, por ejemplo unos pocos días para vulnerabilidades explotadas activamente y accesibles en sistemas críticos. Para las auditorías según ISO/IEC 27001 (anexo A 8.8, «Gestión de vulnerabilidades técnicas») y para NIS2, lo que cuenta es que el proceso, los plazos y la corrección estén documentados de forma trazable.
Qué importa en un software de gestión de vulnerabilidades
- Integración de todas las fuentes sin duplicados
- Priorización según explotabilidad y accesibilidad, no solo según CVSS
- Tareas con contexto para los equipos responsables
- Verificación automática tras la corrección
- Informes con histórico para auditores y dirección
01Plataforma
Productos relacionados
02FAQ
Preguntas frecuentes
¿Qué es la gestión de vulnerabilidades basada en riesgo?
Un enfoque que prioriza las vulnerabilidades no solo según su gravedad técnica, sino según el riesgo real: explotabilidad, accesibilidad e importancia del sistema afectado.
¿Cuál es la diferencia entre CVSS y EPSS?
CVSS evalúa la gravedad técnica de una vulnerabilidad. EPSS estima la probabilidad de que se explote en un futuro próximo. Juntos ofrecen una imagen mejor que cualquiera de los dos por separado.
¿Con qué frecuencia hay que escanear?
Los sistemas críticos y accesibles desde Internet, de forma continua; los sistemas internos, al menos semanalmente, y siempre después de cambios importantes.
Know your exposure.
Control your risk.
3Contacto
Hable con nosotros sobre su superficie de ataque, sus prioridades y la mejor forma de empezar con XMfortress.