Causa raíz: por qué las mismas vulnerabilidades vuelven
Cómo hacer un análisis de causa raíz de vulnerabilidades recurrentes: causas típicas, 5 porqués, acciones correctivas y preventivas y cuándo omitirlo.
Verificar la remediación: cerrar el ciclo con un reescaneo
Cómo comprobar que una vulnerabilidad quedó corregida: reescaneo dirigido, muestreo, criterios de cierre y qué hacer si el hallazgo reaparece en tu registro.
Gestionar la exposición: parchear, mitigar o aceptar
Cómo decidir entre parchear, mitigar o aceptar el riesgo de una vulnerabilidad: criterios, mitigaciones temporales y reglas para aceptar con control.
Cómo priorizar vulnerabilidades: CVSS, EPSS, KEV y criticidad del activo
Cómo priorizar vulnerabilidades combinando CVSS, EPSS, el catálogo KEV de CISA, la exposición a internet y la criticidad del activo. Fórmula para PyMEs.
Registro de hallazgos: el repositorio central de vulnerabilidades
Cómo armar el registro central de hallazgos de vulnerabilidades: campos mínimos, estados, reglas de cierre y quién puede verlo. Con ejemplos para PyMEs.
Tu primer escaneo de vulnerabilidades sin romper nada
Cómo hacer tu primer escaneo de vulnerabilidades sin romper nada: autorización, ventana, credenciales de solo lectura, perfil suave y plan de vuelta atrás.
Revisión del plan: cómo mantener vivo el programa de gestión de vulnerabilidades
Cómo revisar el plan de gestión de vulnerabilidades: cada cuánto, qué cambios lo disparan, qué actualizar y cómo dejar registro.
Stakeholders: cómo conseguir el apoyo de gerencia y de los dueños de cada sistema
Cómo identificar stakeholders de la gestión de vulnerabilidades, qué pedirle a gerencia y a los dueños de cada sistema, y cómo acordar plazos por escrito.
Roles y responsabilidades: quién detecta, quién corrige, quién autoriza
Roles de la gestión de vulnerabilidades: monitoreo, remediación y autorización. Cómo repartirlos en una PyME de pocos técnicos y el cambio de emergencia.
Fuentes de información de vulnerabilidades: CVE, NVD, KEV y avisos de fabricantes
Qué fuentes usar para enterarte de vulnerabilidades: CVE, NVD, CISA KEV, EPSS, avisos de fabricantes y CERT local, y cómo asignar cada una a tus activos.