El ciclo, y dónde se atasca siempre

A quien empieza le parece que el oficio es encontrar vulnerabilidades. No lo es: encontrarlas es lo fácil, el escáner lo hace solo y devuelve miles. El trabajo empieza después —decidir cuáles de esos miles merecen el esfuerzo de arreglarlas ahora, y conseguir que alguien las arregle—. Un analista que entrega el informe del escáner tal cual no ha hecho su trabajo: ha reenviado el de una herramienta.

En Ferranova el escáner corre solo cada noche y deja miles de líneas por la mañana. Tu valor no es que corra: es lo que haces con lo que deja.

El ciclo tiene cinco fases y la palabra clave es «ciclo»: no se recorre una vez. Descubrir (inventario y escaneo), evaluar (qué es cada hallazgo de verdad), priorizar (cuáles ahora), remediar (que se parchee o se mitigue) y verificar (comprobar que quedó cerrado). Y vuelta a descubrir, porque mañana hay fallos nuevos y activos nuevos. Saltarse una fase se paga: sin verificar, das por cerrado lo que sigue abierto; sin inventario, escaneas solo lo que ya conocías.

Lo que convierte esto en un proceso y no en una tarea suelta es que no tiene final. Una foto del estado de hoy caduca esta misma semana.

Pregúntale a cualquiera y dirá que lo difícil es encontrar o priorizar. En la práctica el ciclo se atasca casi siempre en la remediación: el hallazgo está claro, la prioridad está clara, y el parche no se aplica —porque reiniciar ese servidor para la producción, porque el dueño del sistema no contesta, porque «ahora no es buen momento» durante seis meses—. El analista no tiene permiso para parchear el servidor de otro; su herramienta real es la insistencia con evidencia y el escalado cuando la insistencia no basta.

Por eso este oficio es tanto persecución como análisis. Encontrar el fallo es media hora; conseguir que el dueño lo arregle puede ser media tercera parte del año.

Un malentendido caro: el analista de vulnerabilidades no arregla el servidor. No tiene acceso, y si lo tuviera sería el dueño del sistema y no el que lo audita. Su trabajo es detectar, priorizar, abrir el ticket con la evidencia y el contexto, y perseguir hasta que se cierra o hasta que alguien con autoridad acepta el riesgo por escrito. Confundir los papeles lleva a dos errores: el analista que se cree responsable del parche se frustra, y la organización que cree que el analista «ya lo arregla» no asigna a quien de verdad debe hacerlo.

La frase que resume el papel es «yo te digo qué arreglar y por qué, y consigo que se decida; tú lo arreglas o firmas que no». No es debilidad del rol: es lo que lo hace sostenible sobre miles de activos que no son suyos.

Esto no se aprueba leyendo. Abre el gestor de Ferranova y aísla el hallazgo crítico que lleva meses sin cerrarse porque nadie aplica el parche —el único que sigue en remediación—. La nota de ese hallazgo trae un código de la sala.