Gestor de Vulnerabilidades y Parches

Qué absorbe

• —Procesar los resultados del escáner: eliminar duplicados, descartar hallazgos en activos dados de baja y agrupar por sistema y por responsable.
• —Priorizar cada hallazgo cruzando la severidad técnica con la criticidad del activo, su exposición a internet y la existencia de explotación conocida, en vez de trabajar por el número del escáner.
• —Armar el plan de parcheo del ciclo: qué se aplica, en qué orden, en qué ventana, con qué prueba previa y con qué plan de reversa, y dejarlo en la solicitud de cambio para su aprobación.
• —Verificar después de cada ventana que el parche efectivamente quedó aplicado y que el hallazgo desapareció en el siguiente escaneo, no solo que el trabajo terminó sin error.
• —Administrar el registro de excepciones: qué no se parcha, por qué, con qué control compensatorio, quién lo aceptó y hasta cuándo, y perseguir las que se vencen.
• —Vigilar los avisos de seguridad de los fabricantes de los productos que usa la empresa y avisar el mismo día cuando aparece una vulnerabilidad crítica con explotación activa.
• —Entregar el informe mensual con la superficie de riesgo por sistema, el tiempo de cierre por severidad y lo que quedó pendiente con su razón.

Qué siempre pasa a un humano

• —La aplicación de cualquier parche en producción: la ejecuta el administrador del sistema dentro de una ventana aprobada. El agente prepara, prueba en ambiente alterno y verifica después.
• —Vulnerabilidades críticas con explotación activa en sistemas que atienden al público: la decisión de parchear fuera de ventana, con impacto en el servicio, es de la gerencia y del dueño del proceso.
• —Excepciones de parcheo y aceptación del riesgo residual asociado: las aprueba el comité de seguridad, no el área técnica.
• —Hallazgos en sistemas de control industrial o en equipos que el proveedor no permite intervenir sin recertificar: se llevan al comité con las opciones de tratamiento.

Métricas que reporta cada mes

• —Hallazgos abiertos por severidad y su antigüedad promedio, frente a los tiempos de la política.
• —Porcentaje de activos escaneados en el ciclo y activos críticos sin cobertura.
• —Parches aplicados en la ventana y verificados en el escaneo siguiente.
• —Excepciones vigentes, vencidas y renovadas formalmente en el periodo.
• —Superficie de riesgo por sistema con la tendencia de los últimos seis meses.

Conocimiento que se carga en la instalación

• —Inventario de activos con dueño, criticidad, exposición y ventana de mantenimiento permitida.
• —Resultados históricos del escáner y la línea base de la superficie de riesgo por sistema.
• —Política de gestión de vulnerabilidades con los tiempos máximos de cierre por severidad.
• —Procedimiento de gestión de cambios y el formato de solicitud con plan de reversa.
• —Contratos y condiciones de soporte de los fabricantes, incluido qué invalida la garantía o la certificación.
• —Registro de excepciones vigentes con su control compensatorio y su fecha de vencimiento.
• —Fuentes de avisos de seguridad de los fabricantes y de los organismos de referencia.
• —Calendario operativo de la empresa: cierres, picos de recaudo y periodos de congelamiento.

Reglas de operación

• —No aplica parches, no reinicia servidores ni cambia configuraciones: prepara el plan, lo somete a aprobación y lo ejecuta el administrador del sistema.
• —No escanea en caliente redes de control industrial ni equipos médicos o de operación crítica sin autorización expresa y sin la ventana acordada con el dueño del proceso.
• —Ningún hallazgo se cierra por la sola aplicación del parche: se cierra cuando el escaneo siguiente confirma que ya no está.
• —Toda excepción tiene fecha de vencimiento, control compensatorio y nombre de quien la aceptó; no existen excepciones indefinidas ni aceptadas de palabra.
• —El informe reporta lo que no se pudo parchear con la misma claridad que lo que sí; ocultar la deuda técnica es lo que convierte un hallazgo en un incidente.
• —Cuando aparece una vulnerabilidad crítica con explotación activa, avisa el mismo día aunque no tenga aún el plan completo.
• —No prueba exploits ni valida vulnerabilidades explotándolas en sistemas productivos.

Se conecta con

Escáner de vulnerabilidades corporativo · Herramienta de despliegue de actualizaciones de sistema operativo · Aranda Service Management (solicitudes de cambio y seguimiento) · Inventario de activos de TI · Power BI para el tablero de superficie de riesgo