10 / EVALUACIÓN DE SEGURIDAD
Mapa de Exposición · Gestión de vulnerabilidades y superficie de ataque
La exposición se mide.
Identifica lo que tu empresa expone a internet y las vulnerabilidades de tus sistemas, con escaneos periódicos, prioridades claras y seguimiento de lo corregido.
EL RESULTADO QUE BUSCAMOSSaber qué está expuesto. Corregir primero lo que importa.
Disponibilidad, alcance y condiciones sujetos a evaluación y propuesta.
Evaluación, protección y recuperación de sistemas según los riesgos y prioridades del negocio. El alcance y los compromisos de servicio se acuerdan por proyecto.
Solución de entrada dentro de Gestión de Vulnerabilidades y Remediación. Este paquete concreta un alcance de esa oferta; sus entregables y condiciones se acuerdan por proyecto.
LA NECESIDAD
Conoce lo que muestras.
Subdominios antiguos, servicios abiertos y sistemas sin actualizar suelen ser la puerta de entrada. Una revisión aislada envejece rápido: cada cambio, publicación o actualización pendiente modifica la exposición.
Inventario de exposición y ciclo de vulnerabilidades
Se comienza por los activos que la empresa define: dominios, direcciones públicas, servidores y equipos internos. El alcance se construye alrededor de qué se escanea, con qué frecuencia y cómo se mide la corrección.
Encaja con tu empresa si…
Para empresas con sistemas publicados en internet o redes con muchos equipos que necesitan saber qué corregir primero y demostrar avance en el tiempo.
Necesitas otro alcance si…
Si buscas comprobar si una falla se puede aprovechar, aplicar parches en tu nombre o una garantía de que no existen vulnerabilidades, necesitas un alcance distinto.
CONOCER EL ALCANCE
¿Qué incluye
Mapa de Exposición?
El servicio comienza por un alcance definido.
Las ampliaciones se evalúan por separado.
Incluido en el alcance inicial
- Inventario de activos externos e internos dentro del alcance.
- Escaneos periódicos con la frecuencia acordada.
- Priorización según riesgo, exposición y criticidad para la operación.
- Seguimiento de correcciones y medición del avance en cada ciclo.
Fuera del alcance inicial
- No incluye seguros, indemnizaciones ni certificaciones.
- No cubre activos que no estén identificados en el alcance.
- La aplicación de parches y cambios corresponde a la empresa o a un acuerdo independiente.
- La explotación de vulnerabilidades requiere una prueba de penetración autorizada.
Se definen activos, frecuencia de escaneo, ventanas, tipo de escaneo con o sin credenciales, umbrales de prioridad y responsables de corrección. Los resultados automáticos se revisan para descartar falsos positivos.
LO QUE RECIBES
Una capacidad.
Y cómo operarla.
La entrega incluye el proceso, su documentación y el criterio para comprobar que funciona.
- 01
Inventario de activos y mapa de exposición externa.
- 02
Informe por ciclo con vulnerabilidades priorizadas.
- 03
Plan de corrección con responsables y fechas acordadas.
- 04
Indicadores de avance entre ciclos y recomendaciones.
ANTES DE IMPLEMENTAR
Un buen comienzo
requiere contexto.
- Listado de dominios, direcciones públicas y redes internas.
- Autorización para escanear los activos dentro del alcance.
- Credenciales de escaneo o agente, si el alcance lo incluye.
- Responsables de corrección por área o sistema.
En la propuesta se acuerdan responsables, dependencias, plazo, capacitación y soporte. La implementación comienza cuando estén disponibles los accesos y requisitos definidos.
EL RESULTADO SE COMPRUEBA
La evidencia
define el siguiente paso.
Cada ciclo compara la exposición actual con la anterior. El avance se mide en vulnerabilidades corregidas, tiempo de corrección y activos nuevos detectados.
- Contrastar el inventario descubierto con el que la empresa reconoce y explicar las diferencias.
- Verificar con un nuevo escaneo que las correcciones reportadas se cumplieron.
- Registrar lo pendiente, lo aceptado como riesgo y sus responsables, sin presentarlo como ausencia de vulnerabilidades.
Las ilustraciones de esta ficha representan el enfoque de la solución. No son casos de clientes ni resultados ya obtenidos.
RECORRIDO DE REFERENCIA · ALCANCE ILUSTRATIVO
De un activo olvidado a un riesgo cerrado.
Un servicio publicado que no estaba en el inventario se recorre desde su hallazgo hasta su corrección.
01Descubrir
El escaneo externo identifica un servicio expuesto que nadie tenía registrado.
02Priorizar
Se valora su riesgo según la vulnerabilidad, la exposición y lo que protege.
03Comprobar
Tras la corrección, el siguiente escaneo confirma su estado. Si persiste, queda señalado para corregirlo.
Este recorrido muestra cómo estructuramos el trabajo. El alcance final se define sobre tu operación, con tus sistemas y tus criterios de aceptación.
EL MODELO DE INTERVENCIÓN
Un alcance claro.
Un resultado verificable.
La solicitud permite evaluar tu caso. Antes de contratar, acordamos alcance, duración y condiciones.
- 01
Evaluar
Comprendemos el proceso, los accesos y las dependencias. La evaluación confirma si tiene sentido preparar una propuesta.
- 02
Acordar
Definimos alcance, responsables, duración, condiciones económicas y criterios de aceptación antes de comenzar.
- 03
Comprobar
La solución se implementa dentro del alcance autorizado. Registramos resultados, excepciones y trabajo pendiente.
- 04
Decidir
Con la evidencia, acordamos continuar, ajustar o cerrar. La salida contempla documentación, datos y retirada de accesos según lo pactado.
Qué debe quedar en la propuesta
Entregables, aceptación, soporte, responsabilidades y salida. Los costos de implementación, operación y consumos aplicables se explican antes de contratar. Las ampliaciones requieren un acuerdo independiente.
CÓMO COMENZAR
Empieza con
un alcance concreto.
Selecciona este alcance y cuéntanos tu contexto. Antes de contratar, recibirás una propuesta con alcance, condiciones, responsabilidades y criterios de aceptación.
MAPA DE EXPOSICIÓN
Exposición externa
Se comienza por los activos que la empresa define: dominios, direcciones públicas, servidores y equipos internos. El alcance se construye alrededor de qué se escanea, con qué frecuencia y cómo se mide la corrección.
La selección prepara tu solicitud. El alcance y la disponibilidad se confirman en la propuesta.
PARA DECIDIR CON CLARIDAD
¿Qué debes saber
antes de contratar?
¿Es lo mismo que una prueba de penetración?
No. Aquí se identifican y priorizan vulnerabilidades de forma periódica. La prueba de penetración confirma cuáles se pueden aprovechar.
¿Con qué frecuencia se escanea?
Se acuerda según el tamaño y el ritmo de cambio de la empresa. Puede ser mensual o trimestral.
¿Quién corrige las vulnerabilidades?
El equipo de la empresa o su proveedor, con el plan priorizado. La aplicación de correcciones también puede acordarse por separado.