¿Qué es la gestión de vulnerabilidades?

La gestión de vulnerabilidades es el proceso continuo de identificar, clasificar, priorizar y corregir los puntos débiles de seguridad en toda tu infraestructura antes de que los atacantes puedan aprovecharlos. Si tu organización cuenta con más de unos pocos dispositivos, ya tienes vulnerabilidades; la cuestión es si las conoces y dispones de un plan para abordarlas.

Por qué la gestión de vulnerabilidades es importante para los equipos de TI y de seguridad

Cada CVE sin parchear, cada servicio mal configurado o cada versión obsoleta del sistema operativo es un posible punto de entrada. Los atacantes buscan sistemáticamente vulnerabilidades conocidas, a menudo pocas horas después de que se hagan públicas. La gestión de vulnerabilidades es la disciplina operativa que cierra esa ventana de oportunidad.

Lo que está en juego es muy concreto. Según el Informe de investigaciones sobre filtraciones de datos de Verizon, la explotación de vulnerabilidades es sistemáticamente uno de los principales métodos de acceso inicial en las filtraciones confirmadas. Un programa maduro de gestión de vulnerabilidades reduce continuamente la superficie de ataque de su organización, no solo tras un incidente.

Para los equipos de TI que gestionan entornos mixtos, que incluyen macOS, iOS, iPadOS y otras plataformas, la complejidad aumenta rápidamente. Cada plataforma tiene su propio calendario de parches, su proceso de divulgación de vulnerabilidades y sus requisitos de herramientas.

Los componentes fundamentales de un programa de gestión de vulnerabilidades

La gestión de vulnerabilidades es un ciclo, no un proyecto puntual. Los componentes fundamentales son:

1. Inventario de activos

No se puede gestionar lo que no se ve. Un inventario de activos completo y preciso es la base de cualquier programa de gestión de vulnerabilidades. Esto incluye el hardware, el software, las versiones del sistema operativo y el firmware. Las lagunas en el inventario se traducen directamente en puntos ciegos en su postura de seguridad. La gestión del inventario de hardware es un requisito previo, no un paso opcional.

2. Análisis de vulnerabilidades

Las herramientas de análisis examinan los terminales, los servidores y los dispositivos de red en busca de vulnerabilidades conocidas, comparando las configuraciones del sistema y las versiones de software con bases de datos de vulnerabilidades como la National Vulnerability Database (NVD). Los análisis pueden ser autenticados (basados en agentes o con credenciales) o no autenticados. Los análisis autenticados ofrecen resultados significativamente más precisos, ya que pueden inspeccionar directamente los paquetes instalados y las configuraciones.

Para conocer con más detalle cómo encaja el análisis en su flujo de trabajo, consulte «Análisis de vulnerabilidades: guía para profesionales».

3. Evaluación y clasificación de vulnerabilidades

Una vez identificadas las vulnerabilidades, es necesario clasificarlas. El Sistema Común de Puntuación de Vulnerabilidades (CVSS) proporciona una puntuación de gravedad estandarizada de 0 a 10. Sin embargo, las puntuaciones CVSS sin procesar por sí solas no son suficientes para establecer prioridades. Una vulnerabilidad de gravedad crítica en un software que no está expuesto a Internet conlleva un riesgo diferente al de la misma puntuación en un servicio accesible desde el exterior.

La clasificación debe tener en cuenta:

• la puntuación base del CVSS, es decir, la gravedad inherente de la vulnerabilidad
• La explotabilidad: si existe código de explotación público
• La criticidad del activo: la importancia que tiene el sistema afectado para las operaciones empresariales
• La exposición: si el sistema está conectado a Internet, se encuentra en una red segmentada o está aislado físicamente
• El estado KEV de la CISA: si la vulnerabilidad aparece en el catálogo de «Vulnerabilidades explotadas conocidas» de la CISA

4. Priorización

La priorización es el punto en el que la mayoría de los programas triunfan o se estancan. Los equipos de seguridad se enfrentan habitualmente a miles de vulnerabilidades abiertas con un ancho de banda limitado para su corrección. Intentar aplicar parches a todo de inmediato no es viable desde el punto de vista operativo. Un enfoque basado en el riesgo centra los esfuerzos en las vulnerabilidades con mayor probabilidad de ser explotadas y de causar daños reales.

La priorización y corrección de CVE es una disciplina específica. Los equipos que lo hacen bien utilizan fuentes de inteligencia sobre amenazas, sistemas de puntuación de predicción de exploits (EPSS) y el contexto de los activos para tomar decisiones de clasificación justificables.

5. Corrección

La corrección puede adoptar varias formas:

• Aplicación de parches: aplicar las actualizaciones proporcionadas por los proveedores para eliminar la vulnerabilidad
• Fortalecimiento de la configuración: cambiar los ajustes para eliminar la condición de vulnerabilidad (por ejemplo, desactivar un servicio innecesario)
• Controles compensatorios: cuando no es posible aplicar el parche de inmediato, se añaden controles de mitigación, como la segmentación de la red o una supervisión mejorada
• Aceptación: documentar formalmente que se ha revisado y aceptado un riesgo, con una fecha de revisión definida

Una corrección eficaz requiere la coordinación entre los equipos de seguridad, operaciones de TI y los responsables de las aplicaciones. Establecer acuerdos de nivel de servicio (SLA) en función de la gravedad (por ejemplo, vulnerabilidades críticas corregidas en un plazo de 24 horas, las de alto riesgo en un plazo de 7 días) fomenta la responsabilidad.

6. Verificación y presentación de informes

Tras la corrección, compruebe que la solución se ha aplicado correctamente volviendo a escanear los sistemas afectados. La elaboración de informes cierra el ciclo: demuestra el cumplimiento de los SLA internos, respalda los requisitos de auditoría y ofrece a la dirección visibilidad sobre el estado del programa a lo largo del tiempo.

Gestión de vulnerabilidades frente a gestión de parches

Estos términos suelen utilizarse indistintamente, pero no son idénticos. La gestión de parches es un subconjunto de la gestión de vulnerabilidades. La aplicación de parches aborda las vulnerabilidades mediante actualizaciones de software, pero muchas vulnerabilidades no pueden resolverse únicamente con un parche. Las configuraciones erróneas, los ajustes predeterminados inseguros y el software al final de su ciclo de vida requieren medidas correctivas que van más allá de la aplicación de parches.

Un programa maduro de gestión de vulnerabilidades incorpora la gestión de parches, pero también abarca la gestión de la configuración, la gobernanza del ciclo de vida del software y los controles compensatorios.

Marcos y normas comunes

Existen varios marcos del sector que proporcionan una estructura para los programas de gestión de vulnerabilidades:

• NIST SP 800-40 (Guía para la planificación de la gestión de parches en la empresa), ofrece orientación práctica sobre cómo desarrollar y evaluar la capacidad de gestión de parches
• CIS Controls v8, Control 7 (Gestión continua de vulnerabilidades), define medidas de protección específicas, como el análisis automatizado, el seguimiento de las correcciones y la priorización basada en el riesgo
• La normaISO/IEC 27001, anexo A.12.6, aborda la gestión técnica de vulnerabilidades como parte de un SGSI más amplio
• El requisito 6 de la normaPCI DSS exige la identificación de vulnerabilidades y la aplicación de parches en los sistemas que almacenan, procesan o transmiten datos de titulares de tarjetas

Alinear su programa con uno de estos marcos le proporciona una base de referencia defendible y simplifica la presentación de informes de cumplimiento durante las auditorías.

Gestión de vulnerabilidades en dispositivos Apple

Los dispositivos de Apple plantean consideraciones específicas. macOS, iOS e iPadOS tienen sus propios plazos de divulgación de vulnerabilidades y mecanismos de aplicación de parches. Apple publica contenido de seguridad para cada versión en su página de actualizaciones de seguridad, pero mantenerse al día requiere la aplicación de políticas de MDM, no solo avisos a los usuarios.

Entre los retos habituales específicos de Apple se incluyen:

• La fragmentación de las actualizaciones del sistema operativo: sin la aplicación de políticas de MDM, las versiones del sistema operativo de la flota varían significativamente, especialmente tras lanzamientos importantes
• Las vulnerabilidades de aplicaciones de terceros, navegadores, herramientas de productividad y utilidades para desarrolladores introducen vulnerabilidades independientes de la cadencia de parches de Apple
• Los escenarios BYOD(trae tu propio dispositivo): los dispositivos de propiedad personal en entornos corporativos complican tanto la visibilidad como la autoridad para aplicar medidas correctivas; la gestión de dispositivos BYOD requiere un enfoque de aplicación diferente
• Herramientas aisladas: muchos escáneres de vulnerabilidades se diseñaron para entornos centrados en Windows y ofrecen resultados incompletos en macOS

Para las organizaciones que utilizan principalmente hardware de Apple, es aquí donde la gestión de dispositivos Apple y la gestión de vulnerabilidades se entrecruzan directamente.

Cómo aborda Iru la gestión de vulnerabilidades

Iru está diseñado específicamente para flotas de Apple, lo que significa que las capacidades de gestión de vulnerabilidades se han concebido en función del comportamiento real de los dispositivos de Apple, y no se han adaptado a partir de una arquitectura centrada en Windows.

En la práctica, esto se traduce en:

• Inventario continuo del sistema operativo y del software: Iru mantiene una visión en tiempo real de la versión del sistema operativo de cada dispositivo, las aplicaciones instaladas y el estado de los parches sin necesidad de consultas manuales. Esto alimenta directamente los flujos de trabajo de evaluación de vulnerabilidades.
• Flujos de trabajo de corrección automatizados: cuando Apple lanza una actualización de seguridad, Iru puede aplicar dicha actualización en toda la flota mediante mecanismos nativos de MDM, con ventanas de aplazamiento configurables y plazos de cumplimiento obligatorios para los usuarios finales.
• Scripts personalizados y aplicación de la configuración: para las vulnerabilidades que requieren cambios de configuración en lugar de parches (desactivación de protocolos inseguros, aplicación de FileVault, gestión del estado de SIP), la biblioteca de scripts predefinidos y parámetros de cumplimiento de Iru acelera la corrección sin necesidad de herramientas personalizadas.
• Integración con la detección y respuesta en terminales (EDR): Iru se integra con las principales soluciones de EDR para que el contexto de las vulnerabilidades alimente la supervisión activa de amenazas, y viceversa.
• Informes de cumplimiento: las vistas de cumplimiento de Iru relacionan el estado de los dispositivos con marcos como los CIS Benchmarks y los controles del NIST, lo que proporciona a los equipos de seguridad documentación lista para auditorías sin necesidad de trabajar manualmente con hojas de cálculo.

El modelo de plataforma unificada es clave en este sentido. Cuando su MDM y sus herramientas de seguridad comparten los mismos datos de los dispositivos, se elimina la discrepancia que hace que los parches aparezcan como implementados en una herramienta pero sin verificar en otra.

Creación de un programa de gestión de vulnerabilidades escalable

La gestión de vulnerabilidades no es una herramienta que se implemente y se olvide. Requiere disciplina operativa: una cobertura de análisis coherente, una responsabilidad clara en la corrección de vulnerabilidades y revisiones periódicas del programa.

Para poner en marcha o mejorar un programa ya existente:

1. Empieza por la exhaustividad del inventario de activos. Si tu inventario está incompleto, corrígelo primero. Un escáner que cubra el 80 % de tu parque de dispositivos te da una falsa sensación de cobertura.

2. Define explícitamente tus SLA de gravedad. Documenta el plazo de corrección previsto para los hallazgos críticos, altos, medios y bajos. Obtén la aprobación de la dirección.

3. Integra el proceso en tu gestión de cambios. Los parches que requieran reiniciar el sistema o cambios de configuración deben coordinarse con los equipos operativos para evitar tiempos de inactividad no planificados.

4. Automatiza siempre que puedas. La aplicación manual de parches a gran escala no es sostenible. Las actualizaciones del sistema operativo impuestas por MDM y el despliegue automatizado de aplicaciones eliminan categorías enteras de retrasos.

5. Elabora informes sobre tendencias, no solo instantáneas puntuales. Un recuento de vulnerabilidades que va disminuyendo con el tiempo, junto con una mejora en el cumplimiento de los SLA, ofrece una visión más completa que un informe de auditoría puntual.

Si quieres ver cómo gestiona Iru las vulnerabilidades en un parque de dispositivos Apple, solicita una demostración para repasar el flujo de trabajo teniendo en cuenta tu entorno específico.