Verificar la remediación: cerrar el ciclo con un reescaneo
Cómo comprobar que una vulnerabilidad quedó corregida: reescaneo dirigido, muestreo, criterios de cierre y qué hacer si el hallazgo reaparece en tu registro.
Registro de hallazgos: el repositorio central de vulnerabilidades
Cómo armar el registro central de hallazgos de vulnerabilidades: campos mínimos, estados, reglas de cierre y quién puede verlo. Con ejemplos para PyMEs.
Revisión del plan: cómo mantener vivo el programa de gestión de vulnerabilidades
Cómo revisar el plan de gestión de vulnerabilidades: cada cuánto, qué cambios lo disparan, qué actualizar y cómo dejar registro.
Stakeholders: cómo conseguir el apoyo de gerencia y de los dueños de cada sistema
Cómo identificar stakeholders de la gestión de vulnerabilidades, qué pedirle a gerencia y a los dueños de cada sistema, y cómo acordar plazos por escrito.
Roles y responsabilidades: quién detecta, quién corrige, quién autoriza
Roles de la gestión de vulnerabilidades: monitoreo, remediación y autorización. Cómo repartirlos en una PyME de pocos técnicos y el cambio de emergencia.
Fuentes de información de vulnerabilidades: CVE, NVD, KEV y avisos de fabricantes
Qué fuentes usar para enterarte de vulnerabilidades: CVE, NVD, CISA KEV, EPSS, avisos de fabricantes y CERT local, y cómo asignar cada una a tus activos.
Capacitación: qué necesitan saber usuarios y técnicos
Qué capacitación necesita un programa de gestión de vulnerabilidades: temario para usuarios finales y técnicos, frecuencia y cómo comprobar que funciona.
Métricas de un programa de vulnerabilidades: qué medir y qué ignorar
Las cuatro métricas que alcanzan para dirigir un programa de vulnerabilidades en una PyME (MTTR, cobertura, vencidas y reapertura) y las que conviene ignorar.
El plan y la política de gestión de vulnerabilidades: plazos por severidad y excepciones
Cómo escribir la política de gestión de vulnerabilidades de una PyME: plazos de corrección por severidad, reglas de ajuste y excepciones con aprobador.
Recursos y presupuesto del programa de vulnerabilidades
Cuánto tiempo, qué herramientas y qué presupuesto necesita un programa de vulnerabilidades en una PyME, y cuándo conviene contratar un servicio gestionado.