Qué es una vulnerabilidad y qué es gestionarlas

Cada semana se publican cientos de vulnerabilidades nuevas. Ningún equipo del mundo puede corregirlas todas el mismo día, y tampoco hace falta. La gestión de vulnerabilidades es la disciplina que decide qué se corrige primero, cómo se comprueba que quedó corregido y cómo se le explica todo eso a la dirección.

Vulnerabilidad, amenaza, exploit y riesgo

Estos cuatro términos se confunden con frecuencia:

• Vulnerabilidad: una debilidad en un software, una configuración o un proceso que alguien podría aprovechar.
• Amenaza: quien podría aprovecharla y con qué intención. Un grupo de ransomware o un bot que recorre internet.
• Exploit: el código o la técnica concreta que aprovecha la vulnerabilidad.
• Riesgo: la combinación de la probabilidad de que la vulnerabilidad se aproveche y del impacto que tendría. Es lo que realmente se gestiona.

Una vulnerabilidad sin amenaza realista ni impacto relevante puede esperar. Una vulnerabilidad modesta en el servidor que procesa los pagos SINPE de la empresa, con un exploit circulando, no puede.

Tipos frecuentes de vulnerabilidades

No todas están en el código:

1. Fallas de software: errores de programación, como no validar entradas o manejar mal la memoria. Se corrigen con parches del fabricante.
2. Configuraciones inseguras: servicios expuestos sin necesidad, contraseñas por defecto o permisos excesivos. Se corrigen cambiando la configuración.
3. Software sin soporte: sistemas operativos o aplicaciones cuyo fabricante ya no publica parches. Cada falla nueva queda abierta para siempre.
4. Debilidades de proceso: cuentas de exempleados que nadie desactiva o cambios que se hacen sin revisión. Un escáner rara vez las detecta.

Qué es la gestión de vulnerabilidades

No es "pasar un escáner una vez al año". Es un ciclo continuo con cinco etapas:

1. Inventariar   ->  saber qué activos existen y quién es su dueño
2. Descubrir     ->  encontrar vulnerabilidades en esos activos
3. Priorizar     ->  decidir qué se corrige primero según el riesgo
4. Remediar      ->  parchear, mitigar o aceptar formalmente el riesgo
5. Verificar     ->  volver a escanear y medir, y reiniciar el ciclo

Cada módulo de este curso cubre una parte de ese ciclo, en el mismo orden en que lo vivirá en el trabajo.

Breve historia: de los avisos sueltos al programa continuo

Durante años cada fabricante describió sus fallas a su manera. Unos pocos hitos cambiaron eso:

La lección es constante: los incidentes más costosos suelen usar fallas publicadas y con parche, en equipos que nadie actualizó a tiempo.

Por qué importa en ciberseguridad y en el trabajo

La diferencia entre una organización afectada y una que no lo fue suele ser la disciplina de parcheo, no un producto caro. La gestión de vulnerabilidades está en el día a día de varios roles: el analista de vulnerabilidades que escanea y prioriza, el administrador de sistemas que aplica los parches, el analista de SOC que vigila los activos expuestos mientras se corrigen, y el auditor o equipo de cumplimiento que revisa que los plazos se respeten.

En Costa Rica, además, la Ley 8968 de protección de datos personales exige medidas de seguridad razonables sobre la información de las personas. Dejar meses sin corregir una falla conocida es difícil de justificar ante un regulador.

Dónde se aplica

Conceptos clave del curso