Combinar KEV, EPSS, CVSS y el contexto

Las cuatro señales no pesan igual, y conviene fijar el orden antes de mirar números. Lo que está constatado pesa más que lo estimado: que un CVE conste en el catálogo KEV es un hecho. Después va la estimación, el EPSS. El CVSS describe la gravedad técnica y sirve para desempatar entre hallazgos parecidos. Y todo se cruza con el contexto del activo: si asoma a internet y cuánto importa para el negocio.

Una política escrita así se defiende ante quien pregunta por qué un fallo «de 6.1» se atiende antes que uno «de 9.8».

La tabla politica del laboratorio tiene cuatro niveles con su condición y su plazo. Se aplica el primer nivel cuya condición cumple el hallazgo, de arriba abajo. Lee la cola de hoy y la política y averigua cuál es el único hallazgo que entra en el nivel de plazo más corto.

Aplicada la política, algunos CVSS altos no suben. No es que se ignoren: es que su explotación es improbable, no constan en el catálogo y el activo no asoma a internet. Se les da un plazo, se dejan registrados y se revisan cuando cambie algo, por ejemplo el EPSS.

Aplica la política a los dos hallazgos con CVSS de 9.0 o más y averigua cuál recibe el plazo más largo.

Una política también se mide por la carga que genera. Si el nivel urgente se llena, el equipo no da abasto y la cola se vuelve ruido; si está vacío, quizá la política es ciega. Cuenta cuántos hallazgos de hoy tienen un plazo de 7 días o menos, que es lo que el equipo de infraestructura tiene que atender esta semana.

Un hallazgo de una impresora interna, de criticidad baja y con EPSS bajo, cae en el nivel 2 solo porque su CVE consta en el catálogo. Parece desproporcionado y no lo es: el catálogo dice que ese fallo se está explotando en otros sitios. Lo razonable es cumplir el plazo si se puede y, si no se puede (la impresora no se parchea sin parar el servicio), documentar una excepción con control compensatorio y fecha de revisión, como viste en el módulo 7.