Gestionar vulnerabilidades no consiste únicamente en detectarlas. Una estrategia efectiva debe identificar activos, priorizar riesgos, remediar exposiciones y verificar resultados. Conocé qué debería ofrecer un proveedor de gestión de vulnerabilidades y cómo puede ayudarte Murc IT.
Empresa de gestión de vulnerabilidades en Argentina: ¿qué debería ofrecer?Una empresa de gestión de vulnerabilidades debería ayudar a identificar qué activos están expuestos, detectar vulnerabilidades, priorizarlas según el riesgo real, avanzar sobre su remediación y verificar que las correcciones hayan sido efectivas.
Si una organización solamente recibe un listado periódico con cientos o miles de CVE, técnicamente tiene visibilidad, pero no necesariamente está reduciendo su riesgo.
La gestión de vulnerabilidades efectiva comienza con la detección, pero debe terminar con una pregunta mucho más importante:
¿Qué vulnerabilidades fueron realmente solucionadas y cuánto disminuyó nuestra exposición?
NIST describe el proceso de vulnerability management como algo que incluye identificar activos afectados, determinar su exposición, evaluar el impacto de una posible explotación y decidir qué respuesta debe priorizarse. CISA, por su parte, recomienda utilizar su catálogo de vulnerabilidades conocidas como explotadas —KEV— como una de las entradas para priorizar las acciones de gestión de vulnerabilidades.
¿Qué es la gestión de vulnerabilidades?
La gestión de vulnerabilidades o vulnerability management es un proceso continuo para encontrar, evaluar, priorizar y reducir debilidades de seguridad presentes en sistemas, endpoints, servidores, aplicaciones y otros activos tecnológicos.
No debería tratarse como un escaneo que se realiza una vez por año.
La infraestructura cambia constantemente:
- aparecen nuevas vulnerabilidades;
- se instalan nuevas aplicaciones;
- cambian configuraciones;
- ingresan nuevos dispositivos;
- se publican parches;
- se descubren nuevas técnicas de explotación;
- determinados activos cambian su nivel de criticidad.
Por ese motivo, una estrategia madura necesita funcionar como un ciclo.
Descubrir → evaluar → priorizar → remediar → verificar → volver a evaluar.
¿Cuál es el problema de limitarse a detectar vulnerabilidades?
Un scanner puede informar que una organización tiene 2.000 vulnerabilidades.
El problema aparece inmediatamente después:
¿cuáles solucionamos primero?
No todas representan el mismo riesgo.
Una vulnerabilidad con un CVSS elevado podría encontrarse en un dispositivo aislado, mientras que otra con una puntuación menor podría afectar un servidor público crítico y estar siendo explotada activamente.
Por eso, una estrategia moderna de vulnerability management necesita sumar contexto.
Entre los factores que pueden considerarse están:
- criticidad del activo;
- exposición a Internet;
- existencia de exploits conocidos;
- explotación activa;
- impacto sobre el negocio;
- privilegios requeridos;
- disponibilidad de un parche;
- posibilidad real de aplicar ese parche;
- controles compensatorios existentes.
CISA mantiene precisamente el Known Exploited Vulnerabilities Catalog para identificar vulnerabilidades que cuentan con evidencia de explotación en el mundo real y recomienda utilizarlo dentro de los procesos de priorización.
¿Qué debería incluir un servicio de gestión de vulnerabilidades?1. Inventario y descubrimiento de activos
No puede protegerse lo que la organización desconoce.
El primer paso debería ser entender qué activos forman parte del entorno:
- notebooks;
- PCs;
- servidores;
- máquinas virtuales;
- sistemas operativos;
- aplicaciones;
- infraestructura cloud;
- dispositivos de red;
- activos expuestos a Internet.
Un inventario incompleto genera puntos ciegos desde el inicio.
2. Detección continua de vulnerabilidades
El siguiente paso consiste en identificar vulnerabilidades asociadas a esos activos y al software instalado.
Pero la frecuencia es importante.
Una vulnerabilidad crítica descubierta hoy no debería esperar necesariamente hasta el próximo escaneo trimestral para ser identificada.
Por eso, cada vez más organizaciones avanzan hacia esquemas de visibilidad continua.
3. Priorización basada en riesgo
Encontrar todo no significa que sea posible solucionar todo simultáneamente.
La organización necesita transformar miles de hallazgos técnicos en una lista manejable de prioridades.
NIST señala que el análisis necesario para determinar exposición, impacto y prioridad puede convertirse en un proceso manual que consume mucho tiempo.
Una buena solución debería ayudar a responder:
¿Qué debemos solucionar primero?
y no solamente:
¿Cuántas vulnerabilidades tenemos?
4. Patch management
Cuando existe un parche disponible, debe evaluarse cómo implementarlo.
NIST define enterprise patch management como el proceso de identificar, priorizar, adquirir, instalar y verificar parches, actualizaciones y upgrades dentro de una organización. También destaca que una estrategia de patch management ayuda a disminuir el riesgo de compromisos, filtraciones y disrupciones operativas.
Esto requiere coordinación.
No siempre es posible actualizar inmediatamente un sistema productivo.
Puede haber:
- incompatibilidades;
- ventanas de mantenimiento;
- aplicaciones legacy;
- dependencias;
- infraestructura crítica;
- necesidad de testing previo.
Por eso, vulnerability management y patch management necesitan trabajar juntos.
5. Alternativas cuando no puede aplicarse un parche
Este es uno de los puntos más importantes y frecuentemente ignorados.
¿Qué ocurre cuando la vulnerabilidad existe, pero el parche no puede implementarse?
La respuesta no debería ser simplemente: “Queda pendiente.”
Hay que evaluar controles compensatorios, segmentación, mitigaciones o tecnologías capaces de reducir temporalmente la exposición.
Plataformas como Vicarius, por ejemplo, ofrecen mecanismos de patchless protection mediante vShield para determinados escenarios donde aplicar una actualización inmediatamente no resulta viable.
6. Automatización de la remediación
Cuando una organización administra cientos o miles de activos, muchas tareas dejan de ser escalables manualmente.
La automatización puede utilizarse para:
- desplegar parches;
- ejecutar scripts;
- corregir configuraciones;
- verificar software;
- eliminar aplicaciones vulnerables;
- aplicar políticas;
- realizar tareas de remediación repetitivas.
Esto permite que los equipos de IT y Seguridad concentren tiempo en los casos que realmente requieren análisis humano.
7. Verificación
Una vulnerabilidad no debería considerarse solucionada simplemente porque se abrió un ticket o se solicitó instalar un parche.
Hay que verificar el resultado.
La pregunta final debería ser:
¿La vulnerabilidad continúa siendo explotable?
Ese concepto de cierre efectivo del ciclo de remediación es también uno de los focos actuales de Vicarius en su estrategia de plataforma.
¿Cuál es la diferencia entre vulnerability assessment y vulnerability management?Aunque suelen utilizarse como sinónimos, no representan exactamente lo mismo.
Vulnerability assessment se concentra principalmente en descubrir y evaluar vulnerabilidades.
Vulnerability management incorpora un proceso más amplio y continuo:
detección + priorización + remediación + seguimiento + validación.
Un assessment puede indicarte que un servidor presenta una vulnerabilidad crítica.
Un programa de gestión de vulnerabilidades debería ayudarte además a determinar:
- qué riesgo representa;
- qué prioridad tiene;
- cómo corregirlo;
- quién debe hacerlo;
- cuándo debe resolverse;
- cómo verificar que efectivamente dejó de estar expuesto.
No. Son prácticas complementarias.
Un scanner de vulnerabilidades busca sistemáticamente exposiciones conocidas.
Un pentester intenta comprender cómo un atacante podría combinar fallas, configuraciones, credenciales y lógica para comprometer realmente un entorno.
Por eso, una organización puede tener ambos.
La gestión continua permite reducir exposición de manera sistemática.
El pentesting aporta análisis ofensivo y validación humana sobre escenarios específicos.
Una estrategia madura puede combinar tecnología de vulnerability management con especialistas en seguridad ofensiva, especialmente para validar riesgos críticos y comprender cadenas de ataque que una herramienta automática podría no detectar por sí sola.
¿Qué herramienta se puede utilizar para gestionar vulnerabilidades?Existen diferentes plataformas y la elección depende del entorno, cantidad de activos, procesos internos y tecnologías ya instaladas.
Una alternativa es Vicarius vRx, plataforma enfocada actualmente en un modelo de remediation-first exposure assessment.
Entre sus capacidades se encuentran:
- descubrimiento de vulnerabilidades;
- detección con y sin agentes;
- priorización basada en riesgo mediante vScore;
- patch management mediante vPatch;
- protección sin parche mediante vShield;
- automatización y scripting mediante vScript;
- compliance;
- gestión de activos;
- automatización de remediación.
Vicarius indica además que vPatch permite automatizar actualizaciones sobre sistemas operativos y más de 20.000 aplicaciones de terceros.
Esto resulta especialmente interesante para empresas donde el desafío ya no es solamente encontrar vulnerabilidades, sino cerrarlas más rápidamente.
¿Cómo elegir una empresa de gestión de vulnerabilidades en Argentina?No evaluaría únicamente qué herramienta comercializa.
También preguntaría cómo va a acompañar el proceso.
¿Puede entender mi entorno?
Una empresa con 80 endpoints no tiene el mismo problema que una organización con miles de usuarios, múltiples nubes, datacenters y aplicaciones críticas.
El diseño debe adaptarse.
¿Trabaja únicamente sobre detección o también sobre remediación?
Este punto es fundamental.
Preguntá qué ocurre después del informe.
¿Puede integrar tecnología y especialistas?
Las herramientas automatizan gran parte del proceso, pero determinados escenarios requieren análisis humano.
¿Puede ayudarme a priorizar?
Recibir 10.000 alertas sin contexto probablemente empeore el problema.
¿Puede acompañar la implementación?
Una plataforma mal configurada puede terminar siendo simplemente otra consola dentro del stack.
¿Existe soporte después del despliegue?
Vulnerability management es un proceso continuo.
La implementación inicial es solamente el comienzo.
¿Qué empresas necesitan gestión de vulnerabilidades?Prácticamente cualquier organización con infraestructura tecnológica puede beneficiarse, pero la necesidad se vuelve especialmente evidente cuando:
- existen cientos o miles de endpoints;
- la empresa administra servidores críticos;
- conviven Windows, Linux y macOS;
- existen aplicaciones legacy;
- los parches se instalan manualmente;
- Seguridad detecta más vulnerabilidades de las que IT puede solucionar;
- existen requisitos regulatorios;
- hay activos expuestos a Internet;
- el equipo no conoce el estado de remediación;
- diferentes herramientas generan hallazgos dispersos.
Una buena métrica no debería ser solamente:
“Detectamos 4.381 vulnerabilidades.”
También conviene medir:
- tiempo medio hasta la remediación;
- vulnerabilidades críticas abiertas;
- exposición de activos críticos;
- vulnerabilidades explotadas activamente;
- porcentaje de activos cubiertos;
- cumplimiento de políticas de patching;
- reincidencia;
- excepciones pendientes;
- vulnerabilidades sin parche;
- evolución de la exposición en el tiempo.
El objetivo debe ser demostrar reducción del riesgo, no solamente aumento de visibilidad.
¿Murc IT ofrece gestión de vulnerabilidades en Argentina?Sí. Murc IT puede acompañar organizaciones en la evaluación y mejora de su ciclo de gestión de vulnerabilidades, combinando tecnología como Vicarius con especialistas de ciberseguridad para avanzar desde la detección hasta la remediación.
Dependiendo del entorno, el trabajo puede incluir:
- análisis inicial;
- identificación de activos;
- evaluación de la situación actual;
- incorporación de tecnología de vulnerability management;
- priorización;
- automatización de remediación;
- patch management;
- análisis técnico;
- acompañamiento especializado;
- pruebas de seguridad;
- seguimiento de vulnerabilidades.
El objetivo es evitar que vulnerability management termine convertido en un proceso donde cada nuevo escaneo genera un archivo cada vez más largo, pero el riesgo permanece prácticamente igual.
Preguntas frecuentes sobre gestión de vulnerabilidades¿Qué es vulnerability management?
Es un proceso continuo mediante el cual una organización identifica, analiza, prioriza, remedia y verifica vulnerabilidades presentes en sus activos tecnológicos.
¿Cuál es la diferencia entre detectar y remediar una vulnerabilidad?
Detectar significa determinar que la vulnerabilidad existe.
Remediar implica realizar una acción que elimine o reduzca efectivamente esa exposición.
¿Todas las vulnerabilidades críticas deben solucionarse primero?
No necesariamente.
La severidad técnica es importante, pero también deben considerarse explotación activa, exposición, criticidad del activo y contexto empresarial.
¿Qué es CISA KEV?
El Known Exploited Vulnerabilities Catalog de CISA reúne vulnerabilidades con evidencia de explotación en el mundo real. CISA recomienda utilizarlo como una entrada dentro de los procesos de priorización de vulnerabilidades.
¿Qué es patch management?
Es el proceso de identificar, priorizar, obtener, instalar y verificar actualizaciones de software para reducir vulnerabilidades y otros riesgos tecnológicos.
¿Qué pasa si una vulnerabilidad no tiene parche?
La organización debe analizar alternativas como controles compensatorios, segmentación, mitigaciones o mecanismos de protección temporal.
¿Qué solución utiliza Murc para gestión de vulnerabilidades?
Murc trabaja con tecnologías especializadas como Vicarius, que combina detección, priorización y diferentes mecanismos de remediación dentro de vRx.
¿Murc puede realizar una evaluación antes de implementar una solución?
Sí. Antes de definir una herramienta conviene analizar activos, procesos de patching, herramientas existentes, volumen de vulnerabilidades y capacidad operativa para determinar cuál es la estrategia apropiada.
¿Tu empresa detecta vulnerabilidades más rápido de lo que puede solucionarlas?Ese suele ser el verdadero punto de inflexión.
Cuando cada nuevo escaneo agrega cientos de hallazgos pero los equipos no consiguen reducir el backlog, el problema deja de ser la detección.
Pasa a ser la remediación.
Murc IT puede ayudarte a evaluar el proceso actual, identificar las principales brechas y diseñar una estrategia de gestión de vulnerabilidades que combine tecnología, automatización y conocimiento especializado.
Contactá a Murc IT para evaluar el estado actual de vulnerabilidades de tu organización y conocer alternativas para reducir la exposición.
Fuentes
NIST — Vulnerability Management: descripción del proceso de identificación, análisis de exposición, impacto y priorización.
CISA — Known Exploited Vulnerabilities Catalog: catálogo de vulnerabilidades explotadas activamente y utilización en priorización.
NIST SP 800-40 Rev. 4 — Enterprise Patch Management: planificación y gestión empresarial de actualizaciones.
Vicarius — vRx: capacidades actuales de vulnerability management, priorización, patch management, patchless protection y automatización.