Durante una revisión de rutina, un investigador de seguridad descubrió una base de datos expuesta a internet perteneciente a una empresa B2B de 300 empleados con presencia global. La base, con autenticación débil y una calificación de riesgo crítica, parecía ser un objetivo evidente para los atacantes y un problema urgente a solucionar. Sin embargo, tras una investigación más profunda, se constató que se trataba de una base de datos de pruebas que podía resetearse y se utilizaba solo para evaluar a candidatos de empleo, no albergaba información sensible de clientes.
Esta situación ejemplifica un problema fundamental: los escáneres automatizados y los expertos en ciberseguridad no pueden determinar por sí solos el impacto real que tendría una vulneración. Cada vez más, las compañías delegan en socios externos la gestión de vulnerabilidades en entornos cloud para evitar saturar a sus equipos con resultados y alertas, cuyo volumen puede ser abrumador.
Los escáneres emiten demasiadas señales, obligando a ingenieros y analistas a invertir tiempo en interpretar advertencias, identificar falsos positivos y colaborar en las soluciones. Esto reduce el tiempo disponible para desarrollar nuevas funciones, atender clientes o escalar infraestructuras tecnológicas. 
En el contexto actual, los empleados del sector tecnológico navegan entre listas interminables de tareas: los equipos de producto reciben solicitudes constantes de nuevas funcionalidades, mientras que los equipos de ingeniería arrastran una deuda técnica acumulada que no logran eliminar. A esto se suman reorganizaciones que amplían el alcance de proyectos, plantillas reducidas y la supervisión y corrección de agentes de inteligencia artificial, a veces con jornadas que superan las 90 horas semanales.
Además, los departamentos de seguridad lidian con una avalancha de datos procedentes de eventos de identidad, registros de firewall, alertas en endpoints, informes de proveedores y fuentes de inteligencia de amenazas, generando mucho más análisis que hace unos años. Cada incidente parece urgente y de alto riesgo, pero determinar el orden de actuación con recursos limitados se vuelve complejo.
Jon Rose, fundador de IOmergent, empresa especializada en gestión de riesgos y seguridad de la información, explica que la proliferación de hallazgos generados por herramientas basadas en IA y otras fuentes supera la capacidad de triage de los equipos: «En el campo de la seguridad, la lista de tareas parece interminable y las demandas son múltiples. Pero hay que ser implacable en establecer prioridades y en cómo invertir el tiempo».
Por tanto, el verdadero reto no es solucionar vulnerabilidades individualmente, sino decidir cómo asignar el esfuerzo y los recursos disponibles para lograr un mayor efecto en la protección. Tan importante es esta toma de decisiones como la propia reparación. Es aquí donde las puntuaciones de severidad técnica, usadas aisladamente, fallan al intentar responder a la pregunta clave: ¿qué es lo que debo arreglar primero? La prioridad debe basarse en la comprensión del contexto empresarial, no solo en métricas técnicas.
Las limitaciones del CVSS: útil como referencia, no como guía definitiva
El sistema Common Vulnerability Scoring System (CVSS) es la referencia más extendida para medir la gravedad de una vulnerabilidad. Su evaluación se basa en vectores de ataque, complejidad, privilegios necesarios, y el grado de impacto sobre la confidencialidad, integridad y disponibilidad. Pero el CVSS busca mantener una puntuación estable, independiente del entorno, por lo que no evalúa elementos fundamentales como si el activo es accesible desde internet, si existen controles compensatorios efectivos, o si el componente es crítico para el negocio.
Por lo tanto, aplicar una puntuación base de CVSS como criterio único para remediar vulnerabilidades puede llevar a errores y malgasto de recursos.
El CVSS también contempla métricas de amenaza y contexto ambiental, que pueden reflejar condiciones específicas o la probabilidad de explotación según el entorno de la organización. No obstante, esa gestión basada en riesgos depende de disponer de un conocimiento preciso y actualizado, y de la aplicación consistente de dicho contexto por parte de expertos.
Como subraya Rose: «Lo que falta en estas herramientas es una conexión directa con el negocio, entender qué es verdaderamente importante para la organización».
Priorizar lo expuesto a internet y valorar la accesibilidad real
Un buen marco para la toma de decisiones de seguridad debe ir más allá de la mera puntuación y analizar la accesibilidad real del componente vulnerable. Se debe responder: ¿está el servicio afectado expuesto al público en internet o está protegido tras controles de red y sólo accesible internamente?
Muchas vulnerabilidades se detectan pero no pueden explotarse porque el sistema no es accesible desde fuera o está aislado.
Después, debe ponderarse la consecuencia real: un fallo en un entorno de pruebas aislado, aunque expuesto, no tiene el mismo peso que un error crítico en una app que procesa transacciones, almacena datos sensibles o sostiene la principal fuente de ingresos.
También conviene considerar si la vulnerabilidad está siendo activamente buscada por atacantes y cuál podría ser el impacto potencial. Por ejemplo, una debilidad incluida en el catálogo de Vulnerabilidades Explotadas Conocidas (CISA) debe tratarse con prioridad porque existen evidencias de ataques reales.
El Exploit Prediction Scoring System ayuda además a predecir la probabilidad de explotación en los próximos 30 días, permitiendo distinguir riesgos teóricos de aquellos que requieren una atención inmediata. Sin embargo, con la velocidad creciente de exploitations impulsadas por IA, el tiempo entre descubrimiento y explotación efectiva se acorta, ya que crear y usar exploits es cada vez más fácil y económico.
La vía de ataque puede extenderse más allá del sistema directamente afectado. Una vulnerabilidad aparentemente pequeña puede convertirse en una amenaza seria si permite acceder a cuentas con privilegios, sistemas de producción o datos de clientes. Por el contrario, un hallazgo de alta gravedad puede ser temporalmente pospuesto si no es accesible, tiene impacto limitado y está protegido por controles robustos.
Rose insiste: «La investigación y respuesta a estos problemas evoluciona muy rápido. Ignorar riesgos o dejar asuntos sin resolver en la cola de pendientes es la peor situación. Incluso las mejores detecciones pierden valor cuando no hay responsables claros que controlen la tendencia de riesgos. Las excepciones aceptadas deben estar siempre documentadas, con propietarios asignados y fechas de revisión. Reconocer un riesgo no implica ignorarlo, sino gestionarlo consciente y temporalmente».
Un trabajo continuo y especializado, no un proyecto puntual
Cada vez más equipos de seguridad apoyan sus procesos en inteligencia artificial para filtrar y priorizar amenazas, lo que hace posible detectar vulnerabilidades a un ritmo sin precedentes. Pero el volumen de alerta es tan elevado que puede superar la capacidad de un equipo aún muy eficiente.
Los estudios académicos revelan que modelos de lenguaje grandes (LLM) pueden introducir casi nueve veces más vulnerabilidades nuevas que desarrolladores humanos, generando patrones inéditos en el código. Por ello, es fundamental usar la IA para mejorar la interpretación y priorización de alertas, respondiendo rápidamente a preguntas esenciales como: ¿es una vulnerabilidad nueva o conocida?, ¿qué activos están expuestos?, ¿qué información está en riesgo?, ¿se trata de entornos productivos o de pruebas? y ¿cómo ha evolucionado la amenaza?
La clave de un programa efectivo de gestión de vulnerabilidades es alinearse con los altos mandos para entender el rumbo del negocio. Así, la asignación de recursos y ajustes se basan en riesgos reales, no solo en una cifra asignada a una vulnerabilidad.
Como concluye Rose, «eso es lo que permite reducir miles de alertas a un puñado de incidencias priorizadas que verdaderamente requieren atención inmediata». Su recomendación final es destinar más recursos a la aplicación diaria de esta perspectiva basada en el contexto empresarial, para no seguir abrumados ante un volumen creciente de riesgos y proteger mejor los activos esenciales.
