Checklist de madurez de la gestión de vulnerabilidades
Puntúa tu programa de gestión de vulnerabilidades de 0 a 100 en seis áreas, con barras por área, brechas priorizadas y una lectura crawl / walk / run.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un programa de vulnerabilidades es maduro cuando funciona todo el ciclo: conoces tus activos, los escaneas bien, priorizas por riesgo, corriges dentro de los SLA, verificas la corrección y lo mides todo. Marcas cada elemento como cumplido, parcial o no cumplido en seis áreas (inventario y cobertura de activos, cadencia y alcance del escaneo, triaje y priorización basada en riesgo, SLA de remediación y seguimiento, verificación/repetición de pruebas, y métricas e informes) y el checklist devuelve una puntuación ponderada de 0 a 100, barras por área, una lista ordenada de tus mayores brechas y una lectura crawl / walk / run: Crawl por debajo de 45, Walk de 45 a 74 y Run a partir de 75. Las brechas se ordenan por impacto ponderado (peso del área × peso del elemento × carencia), así que lo primero de la lista es donde una mejora mueve más la puntuación. Es una autoevaluación y una ayuda de planificación, no una auditoría ni un escaneo: todo se ejecuta en tu navegador, sin llamadas de red ni secretos, y el resultado se puede exportar. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Recorre las seis áreas y marca cada elemento como cumplido, parcial o no cumplido según cómo funciona de verdad tu programa.
- Revisa la puntuación global de 0 a 100 y las barras de cada área.
- Lee la lectura crawl / walk / run para saber si toca arreglar los cimientos u optimizar.
- Empieza por lo primero de la lista de brechas priorizadas, exporta el resultado y repite la evaluación cada trimestre.
Preguntas frecuentes
¿Qué hace que un programa de gestión de vulnerabilidades sea maduro?
Un programa maduro no se define por cuántos escáneres ejecutas, sino porque todo el ciclo funciona de forma fiable: conoces tus activos y tu cobertura de escaneo sobre ellos; escaneas con la profundidad y la cadencia adecuadas; priorizas por riesgo (explotación, exposición, valor para el negocio) y no solo por CVSS; asignas los hallazgos a responsables con SLA y les haces seguimiento hasta el cierre; verificas las correcciones repitiendo la prueba; y lo mides todo con métricas de tendencia que de verdad orientan las decisiones. Este checklist puntúa esas seis áreas para que la madurez se convierta en un número que puedas seguir en el tiempo.
¿Cómo se calcula la puntuación de madurez?
Cada elemento se marca como cumplido (1,0), parcial (0,5) o no cumplido (0) y tiene un peso. La puntuación de un área es la media ponderada de sus elementos, expresada de 0 a 100. La puntuación global es la media ponderada de las seis áreas (áreas como el triaje y la priorización o los SLA de remediación pesan un poco más, porque es donde los programas fallan con más frecuencia). Después las brechas se ordenan según cuántos puntos ponderados dejan sobre la mesa, de modo que la lista priorizada muestra dónde rinde más el esfuerzo.
¿Qué significan crawl, walk y run aquí?
Son una lectura sencilla de madurez sobre la puntuación. Crawl (por debajo de 45) indica brechas de base, normalmente un inventario incompleto, una cobertura irregular o la ausencia de SLA, y la prioridad es construir lo básico antes de invertir en sofisticación. Walk (de 45 a 74) indica que el proceso central existe, pero hay que ajustar la priorización, los SLA o la verificación. Run (75 o más) indica un programa maduro, basado en riesgo y medido, en el que el foco pasa a la profundidad de la automatización y la optimización. Las bandas son aproximadas a propósito: importa más la tendencia de tu propia puntuación en el tiempo que la etiqueta exacta.
¿Es una auditoría o comprueba mis sistemas?
No. Es una autoevaluación y una ayuda de planificación educativa y defensiva. Respondes tú los elementos según cómo funciona de verdad tu programa; no se escanea, se sube ni se verifica nada contra tu entorno, y ningún dato sale de tu navegador. Úsala para obtener una lectura interna honesta, para informar a la dirección de en qué punto está el programa y para decidir dónde invertir a continuación. Repítela cada trimestre y sigue la puntuación.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.