¿Por qué un informe no basta?
Un informe de pentest o un escaneo entrega una foto en el tiempo. Sin un proceso detrás, los hallazgos quedan en una planilla, sin responsable ni fecha de cierre, y la siguiente auditoría encuentra lo mismo. La gestión convierte esa foto en un proceso con seguimiento.
Las etapas de la gestión de vulnerabilidades
| Etapa | Qué ocurre | Pregunta que responde |
|---|---|---|
| Alcance | Se define qué activos se pueden evaluar y bajo qué autorización | ¿Qué estamos mirando y con permiso de quién? |
| Evaluación | Se revisan los activos dentro del alcance aprobado | ¿Qué debilidades existen hoy? |
| Priorización | Se ordenan los hallazgos por severidad, evidencia e impacto | ¿Qué atacamos primero? |
| Remediación | Se asignan responsables y acciones de corrección | ¿Quién lo arregla y para cuándo? |
| Comprobación (retest) | Se verifica que la corrección funcionó | ¿Quedó realmente cerrado? |
Buenas prácticas
- Evaluar de forma recurrente, no una vez al año.
- Priorizar por riesgo real, no solo por severidad técnica.
- Asignar responsable y fecha a cada hallazgo.
- Conservar evidencia del cierre para auditorías.
- Separar lo automatizable de lo que requiere criterio humano.
Errores comunes
- Confundir «escanear» con «gestionar».
- Tratar el informe como el final.
- No verificar el cierre.
- Perder la trazabilidad entre el hallazgo y la acción.
Gestión de vulnerabilidades y cumplimiento
Marcos como ISO 27001 (control 8.8, gestión de vulnerabilidades técnicas) o la Ley 21.663 en Chile piden evidencia de que este proceso existe y se mantiene. Ese sistema de gestión vive en TECDEX Compliance; VULNERA aporta la evidencia técnica que lo alimenta.
Cómo ayuda VULNERA
VULNERA reúne alcance, hallazgos, remediación y evidencia en una sola plataforma, para que la gestión no dependa de planillas ni correos.