Qué debería entrar en el alcance
- Endpoints críticos, servidores y activos expuestos a internet.
- Entornos cloud y plataformas como Azure, AWS y Microsoft 365 cuando sostienen la operación.
- Aplicaciones y APIs relevantes para ingresos, atención o continuidad.
- Activos de terceros o subsidiarias si comparten identidad, red o datos.
El error común es medir solo lo que es fácil de escanear. El alcance debería responder al negocio, no al límite de la herramienta.
Frecuencia recomendada
Semanal
Para activos expuestos, cambios frecuentes y entornos con alta rotación. Suele ser el estándar razonable en empresas con operación digital activa.
Mensual
Para activos internos de menor exposición o ambientes más estables. No debería ser la única frecuencia si hay servicios públicos o correo corporativo crítico.
Extraordinaria
Siempre que cambian componentes sensibles: despliegues, nuevas integraciones, migraciones cloud o exposición de nuevos servicios.
La frecuencia correcta no es la más alta posible. Es la que permite detectar cambios antes de que el backlog se vuelva inmanejable.
KPIs que sí importan
- Tiempo promedio de cierre por criticidad.
- Vulnerabilidades críticas abiertas por más de X días.
- Porcentaje de activos críticos efectivamente cubiertos.
- Reincidencia de hallazgos por equipo, plataforma o proveedor.
- Evolución del backlog real, no solo cantidad total de hallazgos.
Medir solo cantidad de vulnerabilidades encontradas castiga a los equipos más transparentes y no dice si el riesgo baja o sube.
Cuándo sumar pentesting o auditoría cloud
La gestión continua de vulnerabilidades no reemplaza todo. Si necesitas comprobar explotación real, conviene sumar pentesting. Si el mayor riesgo está en permisos, identidades o configuraciones de nube, conviene complementar con auditoría de seguridad cloud.
Qué hace que el programa fracase
- No tener dueño por activo o plataforma.
- No traducir hallazgos a backlog operativo real.
- No distinguir criticidad técnica de criticidad de negocio.
- No cerrar el ciclo con revalidación y reportería ejecutiva.