El análisis de vulnerabilidades es el barrido periódico de toda su superficie: qué hay expuesto, con qué versión y qué fallos conocidos arrastra. No sustituye a un test de intrusión, pero es lo que evita que entre alguien por un fallo publicado hace ocho meses, que es como entra la mayoría.
El problema no es encontrar, es decidir
Cualquier herramienta le devuelve miles de hallazgos. El trabajo está en separar los treinta que importan de los tres mil que no, y eso no lo hace un escáner: lo hace alguien que entiende su arquitectura.
Explotabilidad real: no es lo mismo una vulnerabilidad con exploit público y explotación activa que una teórica que nadie ha conseguido reproducir.
Exposición: el mismo fallo en un servidor publicado en Internet o en una máquina de una red segmentada sin salida no merecen la misma urgencia.
Criticidad del activo: la puntuación genérica no sabe cuál de sus servidores factura y cuál aloja la intranet de anuncios.
Falsos positivos: los revisamos nosotros antes de entregarle nada. Un informe con ruido se ignora entero, y eso es peor que no tenerlo.
Qué cubrimos
Perímetro externo: todo lo publicado, incluido el activo que alguien levantó para una prueba y nadie apagó.
Red interna: servidores, puestos, dispositivos de red e impresoras, que siguen siendo una vía de entrada habitual.
Aplicaciones web y API con verificación manual de los hallazgos relevantes.
Cloud y contenedores: imágenes, configuración de servicios y permisos.
Configuración: no solo parches, también servicios innecesarios, cifrados obsoletos y credenciales por defecto.
Cómo trabajamos
1
Inventario
Lo primero es saber qué hay. En casi todas las organizaciones aparecen activos que nadie tenía en la lista.
2
Barrido
Autenticado cuando es posible, porque un análisis sin credenciales ve una fracción de lo que hay.
3
Depuración manual
Revisamos falsos positivos y verificamos a mano lo que merece verificación. Aquí se cae la mitad del ruido.
4
Priorización
Cada hallazgo se ordena por explotabilidad, exposición y criticidad del activo, no por la puntuación de fábrica.
5
Plan de remediación
Agrupado por acción, no por hallazgo: un solo parche suele cerrar decenas de líneas del informe.
6
Seguimiento
Comparativa con el barrido anterior para ver si la deuda técnica baja o solo cambia de sitio.
Qué recibe
Inventario de activos y servicios detectados.
Informe priorizado con los hallazgos depurados y su justificación.
Plan de remediación agrupado por acción y esfuerzo.
Comparativa con el análisis anterior, para medir si mejora.
Resumen ejecutivo con la evolución en una página.
Quién lo ejecuta. El mismo equipo que audita, no un perfil comercial. En gobierno, riesgo y cumplimiento: CISSP, CISM, ISO 27001 Lead Auditor, ENS y Análisis de Riesgos (CCN), DPD/DPO certificado, CCSP y CDPP (ISMS Forum) y PMP (PMI). En la parte técnica: OSCP, CRTO II y eWPTX, con presencia en el Top 1 % de la plataforma Atenea del CCN-CERT.
Preguntas que nos hacen
¿Esto sustituye a un test de intrusión?
No. El análisis de vulnerabilidades le dice qué fallos conocidos tiene; el test de intrusión demuestra hasta dónde se llega encadenándolos y encuentra lo que ninguna herramienta detecta, como los fallos de lógica de negocio. Se complementan: barrido frecuente, pentest periódico.
¿Con qué frecuencia?
Mensual o trimestral para el perímetro externo, trimestral o semestral para el interno. Lo importante es la serie: un barrido aislado es una foto, doce son una tendencia.
¿Pueden hacerlo sin credenciales?
Podemos, pero verá mucho menos. El análisis autenticado detecta software desactualizado y configuraciones que desde fuera son invisibles. Si el objetivo es simular la vista de un atacante externo, entonces sí tiene sentido hacerlo sin credenciales.
¿Nos vale para cumplir?
Sí. ENS, ISO 27001, PCI DSS y NIS2 exigen gestión de vulnerabilidades documentada. El informe y la comparativa sirven como evidencia ante el auditor.
Empiece por saber qué tiene expuesto
Media hora con un auditor para acotar el alcance y la frecuencia que le conviene, sin pagar por barridos que no va a poder atender.
Teléfono: +34 686 250 244 (L-V, 9:00 a 18:00) · Email: info@jaymonsecurity.com
Respondemos en 2 horas dentro del horario laboral.
