Priorizar la remediación de vulnerabilidades es uno de los mayores desafíos para los equipos de seguridad. Un escáner puede reportar cientos o miles de hallazgos en una sola semana, y no todos representan el mismo riesgo. Intentar corregirlos todos a la vez suele llevar a la parálisis, a la fatiga del equipo y a dejar sin atender los problemas que realmente importan. La clave está en combinar tres capas de información: la severidad técnica (CVSS), la probabilidad de explotación (EPSS) y el contexto del negocio.
Este artículo explica cómo integrar estas señales en un flujo de trabajo práctico, con criterios claros para decidir qué remediar primero y qué puede esperar.
Qué aporta cada métrica y qué no
Ninguna de estas herramientas es suficiente por sí sola. Cada una responde a una pregunta distinta y tiene limitaciones que conviene conocer.
CVSS: severidad técnica estandarizada
El Common Vulnerability Scoring System (CVSS) asigna una puntuación de 0 a 10 según características como el vector de ataque, la complejidad, los privilegios requeridos y el impacto en confidencialidad, integridad y disponibilidad. Es útil para comparar vulnerabilidades entre sí y para cumplir con requisitos de reporte.
Sin embargo, CVSS mide el peor escenario teórico, no la probabilidad real de que alguien explote la vulnerabilidad en su entorno. Una puntuación alta no garantiza que exista un exploit público ni que su sistema sea un objetivo atractivo. Además, muchas organizaciones usan la puntuación base sin ajustar las métricas temporales o ambientales, lo que infla la lista de críticos.
EPSS: probabilidad de explotación en los próximos 30 días
El Exploit Prediction Scoring System (EPSS) estima, con base en datos observados de actividad de explotación, la probabilidad de que una vulnerabilidad sea explotada en los próximos 30 días. Su valor va de 0 a 1 (o 0 % a 100 %).
EPSS ayuda a separar las vulnerabilidades que suenan graves en teoría de aquellas que los atacantes están usando activamente. Un CVSS 9.8 con EPSS bajo puede ser menos urgente que un CVSS 7.5 con EPSS alto. No obstante, EPSS no considera el valor de sus activos ni el impacto para su organización; solo indica probabilidad, no consecuencia.
Contexto de negocio: el factor decisivo
El contexto responde a preguntas como: ¿el activo afectado es accesible desde internet?, ¿procesa datos personales o financieros?, ¿es crítico para la operación?, ¿tiene controles compensatorios?, ¿existe una ruta de explotación realista dentro de su red? Sin esta capa, cualquier priorización queda incompleta.
Un modelo práctico de priorización
Una forma efectiva de combinar las tres señales es asignar niveles de prioridad según reglas simples. Por ejemplo:
- Prioridad crítica: vulnerabilidad con EPSS alto (por ejemplo, superior al 10 %), CVSS alto (7.0 o más) y activo expuesto a internet o crítico para el negocio. Remediar de inmediato o aplicar mitigación temporal.
- Prioridad alta: EPSS alto pero activo interno sin datos sensibles, o EPSS moderado con CVSS alto en activo crítico. Remediar en el ciclo normal, con seguimiento semanal.
- Prioridad media: CVSS alto pero EPSS bajo y activo no crítico. Programar remediación en ventanas de mantenimiento.
- Prioridad baja: CVSS bajo, EPSS bajo y sin exposición relevante. Documentar y revisar periódicamente.
Estos umbrales son orientativos. Lo importante es definir reglas explícitas, documentarlas y ajustarlas según la realidad de su organización. Herramientas de gestión de vulnerabilidades permiten automatizar esta lógica, pero la decisión de los umbrales debe ser suya.
Errores comunes y trade-offs reales
Un error frecuente es tratar CVSS como única fuente de verdad. Esto genera listas interminables de "críticos" que nadie alcanza a corregir. Otro error es ignorar el contexto y aplicar la misma prioridad a un servidor de pruebas que a un sistema de pagos.
También hay trade-offs que conviene asumir:
- Automatización vs. juicio humano: las reglas automáticas aceleran la clasificación, pero casos ambiguos requieren revisión manual.
- Ventanas de remediación vs. disponibilidad: corregir de inmediato puede afectar servicios; a veces conviene mitigar primero y parchear después.
- Cobertura vs. profundidad: priorizar bien implica aceptar que algunos hallazgos de bajo riesgo quedarán pendientes por un tiempo.
EPSS tampoco es perfecto: su valor cambia con el tiempo y puede no reflejar amenazas dirigidas específicamente a su sector. Úselo como una señal más, no como un oráculo.
Conclusión y próximos pasos
Priorizar la remediación no consiste en elegir una métrica, sino en combinarlas con criterio. CVSS aporta severidad técnica, EPSS aporta probabilidad de explotación y el contexto de negocio aporta relevancia real. Juntas permiten enfocar los esfuerzos donde el riesgo es mayor y evitar la parálisis.
Para avanzar, comience por inventariar y clasificar sus activos según criticidad, defina umbrales de priorización con su equipo y revise periódicamente los resultados. Si necesita ayuda para diseñar este proceso o validar la exposición real de sus sistemas, un ejercicio de pentesting puede aportar la evidencia que falta para tomar decisiones informadas.