Cómo clasificar vulnerabilidades y hacer seguimiento de su remediación
Mapea el proceso de triaje y remediación de vulnerabilidades como diagrama de flujo, cuenta los hallazgos por fuente, gravedad y resultado y muéstralos en un Sankey. Método ilustrativo, no una afirmación de cumplimiento.
El triaje decide qué hallazgos son reales y con qué rapidez hay que corregirlos. Esta guía dibuja ese proceso como diagrama de flujo y luego cuenta los hallazgos que pasan por él, para ver cuántos se corrigen a tiempo, se aceptan o siguen abiertos.
En resumen
- Dibuja el triaje como decisiones con salidas con nombre: confirmado, falso positivo, dentro del SLA, excepción.
- Cuenta los hallazgos por cada salida en un periodo, tras eliminar duplicados.
- Muestra fuente, gravedad y resultado en un diagrama de Sankey para ver la forma del trabajo.
- Trata el riesgo aceptado y los hallazgos abiertos como resultados que explicar, no como fallos que ocultar.
El triaje es un conjunto de decisiones que se pueden contar
Un escáner informa de hallazgos. Un proceso decide qué pasa con ellos: si es un hallazgo real en este activo, cuán grave es, cuál es el plazo, si podemos cumplirlo y si la corrección se confirmó. Cada una de esas preguntas es una decisión con salidas, y cada salida tiene un número de hallazgos. Dibujado como diagrama de flujo, el proceso es fácil de revisar. Contado, muestra dónde se acumulan los hallazgos.
El ejemplo es un proceso de gestión de vulnerabilidades de 26 pasos. Sus decisiones son las mismas que un Sankey necesita como nodos: escaneable o no, confirmado o falso positivo, explotado o rutinario, dentro del SLA o no, cerrado o aún presente. La plantilla de Sankey de /es/sankey/vulnerability-remediation-flow muestra los hallazgos de un periodo como fuente, gravedad y resultado.
Es una forma de ver tus propios registros, no una afirmación sobre lo que exija ninguna norma. Tu política define las bandas de SLA y quién puede aceptar un riesgo.
Un proceso de vulnerabilidades, construido por etapas
Veintiséis pasos. Las decisiones son los puntos donde un hallazgo puede salir del camino principal, y cada una es un recuento.
Alcance y escaneo
El ciclo arranca del inventario de activos. «¿Todo activo dentro del alcance es escaneable?» tiene una rama Brecha de cobertura que vuelve hasta que el activo se puede escanear, así que los activos sin escanear se ven como un recuento y no como silencio.
Confirmación y puntuación
Los hallazgos se deduplican y se enriquecen, y «¿Hallazgo confirmado en el activo?» manda los falsos positivos a un paso de descarte con evidencia. Los hallazgos confirmados se puntúan. El número de falsos positivos es el primer resultado que seguir.
Plazo, corrección y excepción
Los hallazgos con explotación conocida o críticos siguen una vía de emergencia, y el resto recibe una banda de SLA y una fecha límite. «¿Es remediable dentro del SLA?» manda los que no pueden cumplirlo a una decisión de excepción, y el reescaneo decide si la corrección funcionó.
Registro e informes
Los hallazgos cerrados actualizan el registro, los vencidos se escalan y el ciclo termina con métricas de cobertura, antigüedad y cierre. Son los recuentos que puedes reunir en un único Sankey del periodo.
Cómo funciona
Dibuja tu proceso de triaje
Incluye las decisiones: confirmado, gravedad, plazo, excepción, corrección confirmada. Da nombre a cada salida.
Exporta los hallazgos de un periodo
Toma los hallazgos abiertos en un trimestre de todos los escáneres. Elimina el mismo problema notificado por dos herramientas.
Agrupa gravedad y resultado
Usa cuatro bandas de gravedad y una lista corta de resultados: corregido en SLA, corregido tarde, aceptado, falso positivo, abierto.
Cuenta fuente, gravedad y resultado
Cuenta cada hallazgo una vez. Comprueba que lo que entra en cada gravedad es igual a lo que sale.
Lee primero las excepciones
Mira los hallazgos aceptados y abiertos, y las gravedades donde se concentran. Decide si eso coincide con tu política.
Errores que debes evitar
Contar dos veces el mismo problema
Dos herramientas suelen notificar una misma vulnerabilidad. Sin deduplicar, las fuentes parecen mayores de lo que son.
Esconder el riesgo aceptado
Dejar fuera los hallazgos aceptados hace que la parte corregida parezca mayor. Muéstralos como resultado propio.
Usar el diagrama como evidencia
Un Sankey de recuentos es un resumen. La evidencia para una auditoría son los registros de origen, con fechas y aprobaciones.
Abre el diagrama de flujo de gestión de vulnerabilidades
Abre la plantilla, adapta las decisiones a tu política y cuenta las salidas.
Guías relacionadas
Preguntas frecuentes
¿Puede esto mostrar si cumplo una norma?
No. Muestra tus propios recuentos. Que cumplan una norma depende de la norma y de tu política, que esta guía no establece.
¿Cómo cuento un hallazgo presente en muchos activos?
Decídelo una vez: cuenta cada par activo-hallazgo o cada vulnerabilidad distinta. Di cuál en la nota de datos y mantenlo igual cada periodo.
¿Deben aparecer los falsos positivos en el gráfico?
Sí, como resultado. Una proporción alta de falsos positivos apunta a ajustar el escáner, que es una solución distinta de aplicar parches.