El problema
La mayoría de las empresas que nos llaman ya tiene un escaneo. Lo que no tiene es qué hacer con el resultado. Un reporte de vulnerabilidades sin priorizar es una lista de mil hallazgos ordenados alfabéticamente, y una lista así no se ejecuta: se archiva.
La segunda mitad del problema es el miedo, y está fundado. El antivirus que frena un servidor de aplicaciones fue uno de los pedidos que más se nos repitió en esta línea: 16 pedidos en tres clientes distintos. Después de una experiencia así, la reacción natural es apagar la protección en ese servidor «por ahora», y ese «por ahora» dura años.
Las dos cosas se resuelven igual: con criterio. Priorizar por riesgo real —qué está expuesto, qué es explotable hoy, qué toca datos sensibles— en vez de por el número de severidad que trae el reporte. Y configurar las exclusiones que la aplicación necesita, documentadas y acotadas, en vez de apagar el antivirus entero.
Qué incluye
- Escaneo con herramienta profesional. Con Tenable, que es la plataforma sobre la que trabajamos. Escaneo autenticado, que es el que ve de verdad: sin credenciales sólo se adivina desde afuera.
- Priorización por riesgo real. No por severidad nominal. Un hallazgo crítico en un servidor sin salida a internet y sin datos pesa menos que uno medio en el que publica el sitio.
- Plan de remediación por etapas. Con qué se arregla primero, en qué ventana, qué se prueba antes y cómo se vuelve atrás si algo falla.
- Exclusiones de antivirus bien hechas. Por ruta y por proceso, acotadas y con justificación escrita, siguiendo la recomendación del fabricante de cada aplicación. Nunca «apagar en este servidor».
- Gestión de parches. Distribución por grupos, empezando por un lote de prueba, con la verificación de que el parche efectivamente quedó puesto.
- Verificación posterior. Un segundo escaneo después de remediar. Un hallazgo no está cerrado porque alguien lo marcó como cerrado, sino porque el escaneo ya no lo ve.
- Informe para el regulador. En el formato que pide quien lo va a leer, con el estado inicial, lo remediado, lo aceptado como riesgo y por qué.
- Ciclo recurrente. Escaneo, priorización, remediación y verificación en una cadencia acordada. Una foto anual no protege de nada.
Lo que no entra
- Pruebas de penetración ofensivas, que son otro servicio y otro perfil.
- Compra de licencias de la plataforma de escaneo, que se cotiza aparte.
- Desarrollo seguro y revisión de código de aplicaciones propias.
Cómo lo hacemos
01
Diagnóstico
Escaneo inicial autenticado del alcance acordado, y un informe con los hallazgos ya priorizados por riesgo real, no por severidad nominal. Ese informe es suyo, aunque el proyecto no siga.
02
Diseño
Definimos qué se remedia, en qué orden, en qué ventanas y qué se acepta como riesgo con la firma de quien corresponde. Todo por escrito antes de tocar un servidor.
03
Remediación
Por lotes, con un grupo de prueba primero y plan de retorno en cada ventana. Las exclusiones de antivirus se documentan una por una, con su justificación.
04
Verificación
Segundo escaneo sobre lo remediado y entrega del informe comparativo. Lo que sigue apareciendo, sigue abierto, y se dice.
Qué recibe al terminar
Por qué nosotros
Trabajamos sobre la plataforma, no sobre el folleto
Tenable es una de las seis marcas con las que trabajamos, y la elegimos para esta línea porque es la que usamos en producción todos los días. En tres años de registro de servicio, los pedidos de esta línea —sobre todo antivirus que frena servidores y exclusiones mal hechas— sumaron 16 pedidos en tres clientes distintos. Es un volumen menor que el de otras líneas, y eso mismo dice algo: casi nadie pide ayuda con las vulnerabilidades hasta que un tercero se las señala.
Preguntas frecuentes
Ya tenemos un escaneo. ¿Para qué otro?
Probablemente no necesite otro escaneo: necesite qué hacer con el que tiene. La mayor parte de nuestro trabajo en esta línea no es escanear, es priorizar mil hallazgos en una lista ejecutable de veinte, remediarlos sin frenar la operación y verificar que quedaron cerrados.
El antivirus frena nuestro sistema de gestión. ¿Qué hacemos?
Exclusiones por ruta y por proceso, acotadas y documentadas, siguiendo lo que recomienda el fabricante de esa aplicación. Lo que no hay que hacer es apagar la protección en ese servidor, que es la salida rápida y la que después explica cómo entró un cifrado por ransomware.
¿Cada cuánto conviene escanear?
Depende de qué tan seguido cambia el entorno y de qué pide su regulador. Un ciclo trimestral es un piso razonable para una empresa que no cambia mucho; mensual si hay despliegues frecuentes o exposición a internet. Lo que no sirve es una foto anual: para cuando se lee, el entorno ya es otro.
¿Nos sirve para presentar ante el regulador?
Sí, y es uno de los motivos por los que se contrata. El informe entrega el estado inicial, lo remediado con fecha, lo que se aceptó como riesgo y quién lo aprobó. Esa última parte es la que suele faltar y la que más preguntan.