Corrige primero lo que está siendo explotado: convierte CVSS en una cola de prioridades

En resumen: Cada año se publican decenas de miles de CVE, pero solo una pequeña parte se explota activamente. Priorizar según la explotación en el mundo real —y no solo por la gravedad— es lo que distingue el trabajo rutinario de la reducción efectiva del riesgo.

La gravedad no es lo mismo que la urgencia

Un CVSS 9.8 en un servicio que no utilizas es ruido. Un CVSS 7.5 que se está utilizando activamente como arma contra software que tienes expuesto es una emergencia. Los equipos que aplican parches basándose estrictamente en la puntuación de gravedad terminan dedicando sus escasas horas de remediación a hallazgos que ningún atacante está aprovechando.

La señal que importa es la evidencia de explotación activa combinada con tu propia exposición.

Crea una cola de prioridades, no una lista de tareas pendientes

• Contrasta los hallazgos con catálogos de vulnerabilidades explotadas conocidas antes de clasificarlos.
• Pondera según la exposición: los problemas orientados a Internet y los que permiten eludir la autenticación pasan al principio de la cola.
• Ten en cuenta la madurez del exploit: una prueba de concepto pública cambia el cálculo.
• Reordena continuamente; una CVE inactiva puede volverse urgente el mismo día en que aparece un exploit.

La evidencia cierra el ciclo

La priorización solo da resultados si puedes demostrar que la corrección se aplicó. Un flujo de trabajo de remediación debe conservar la evidencia —el hallazgo, la exposición, el parche y el nuevo análisis que lo confirma— para que la cola se reduzca mediante resultados verificables, en lugar de cierres de tickets excesivamente optimistas.

KENSAI vincula cada hallazgo con un registro de evidencias para que «resuelto» signifique que se ha vuelto a verificar, no solo que se ha marcado como finalizado.

Cómo se ve una buena práctica

Un programa maduro trata el catálogo de vulnerabilidades explotadas como una fuente de información en tiempo real, no como una lista de comprobación trimestral. Cuando una CVE pasa de «observada en análisis» a «observada en ataques», el plazo de remediación para los activos expuestos debería reducirse automáticamente de semanas a horas, sin que una persona tenga que volver a clasificar la cola.

Mide específicamente el intervalo entre la divulgación pública y la remediación confirmada de las CVE explotadas: esa cifra, y no tu tasa bruta de aplicación de parches, es el indicador honesto de si la priorización funciona. Combínala con una validación externa continua para verificar una corrección frente a la superficie de ataque real, en vez de darla por hecha porque se cerró un ticket.

Conclusión

El objetivo de la gestión de vulnerabilidades no es tener cero hallazgos, sino cero exposición explotable. Prioriza según la explotación en el mundo real y la exposición, y demuestra la remediación mediante un nuevo análisis.