La ventana de exposición pone en riesgo tu programa de seguridad
Publicado el
La preocupación por la ventana de exposición
La industria de la ciberseguridad ha centrado su atención en el impacto de Mythos, la herramienta de descubrimiento impulsada por IA revelada por Anthropic el 7 de abril. Sin embargo, más allá de la cantidad de nuevas vulnerabilidades (CVE) que se añaden al panorama, la verdadera preocupación radica en la ventana de exposición. Esta ventana se refiere al tiempo que transcurre desde que una vulnerabilidad se vuelve explotable hasta que el equipo de seguridad la corrige. Este período crítico es el que los atacantes utilizan para causar daño.
Un tiempo de respuesta alarmante
El tiempo promedio de respuesta ante un incidente de cibercriminalidad se redujo a 29 minutos en 2025, mientras que el estándar de PCI DSS permite hasta 30 días para remediar vulnerabilidades críticas. Esto representa una desventaja significativa, con una discrepancia de 1,000 a 1 entre la velocidad de los atacantes y la de las organizaciones para reaccionar. La movilización de equipos, que implica la propiedad y la complejidad organizativa, se convierte en un factor que prolonga esta ventana de exposición.
La magnitud del problema
Antes de la llegada de Mythos, el modelo de gestión de vulnerabilidades ya mostraba debilidades. En 2025, se reportaron 48,185 CVEs, un aumento del 22% respecto a 2024. Las proyecciones indican que en 2026 se añadirán 66,000 nuevas vulnerabilidades. La mayoría de los equipos de seguridad se ven abrumados por la acumulación de tareas de remediación debido a procesos que no se ajustan a la rapidez con que se presentan las amenazas.
La velocidad de la tecnología frente a la lentitud organizativa
Gartner define cinco etapas en su modelo CTEM: alcance, descubrimiento, priorización, validación y movilización. Mientras que las primeras tres etapas avanzan a la velocidad de la máquina, la movilización sigue un ritmo organizativo más lento. Aunque se han realizado avances en la validación de controles, la rapidez de respuesta sigue siendo un reto. Recientemente, CISA ha comenzado a priorizar parches basándose en la explotabilidad, pero esto no aborda la velocidad con la que las organizaciones pueden implementar correcciones.
El problema de la movilización
La desconexión entre identificar una vulnerabilidad y su corrección es un problema de movilización. El equipo de seguridad detecta el riesgo, pero otros equipos, cada uno con sus propias prioridades y procesos de aprobación, deben llevar a cabo la remediación. Este traspaso de responsabilidades es el punto débil de muchos programas CTEM, donde los procesos de remediación han sido diseñados para una velocidad humana, mientras que las etapas previas operan a gran velocidad.
La investigación indica que las aplicaciones con vulnerabilidades críticas y altas tardan una media de 55 días en ser remediadas, y casi la mitad de las vulnerabilidades empresariales siguen sin parches después de un año. La falta de priorización en la remediación, basada en la explotabilidad y el impacto en el negocio, contribuye a mantener abierta la ventana de exposición.
Conclusión
La ventana de exposición sigue siendo un aspecto crítico que las organizaciones deben abordar para mejorar su seguridad. La capacidad de respuesta debe alinearse con la velocidad de las amenazas actuales, y es fundamental que las empresas optimicen sus procesos de movilización para cerrar esta brecha. La ciberseguridad no solo se trata de identificar vulnerabilidades, sino de actuar con rapidez y eficacia ante ellas.