Métricas de parcheo que sirven para decidir

La guía pone un ejemplo: si te dicen que el 10 % de tus activos no se parchea, ¿qué significa eso para el riesgo? Depende de cuáles sean. Si son los más importantes, es un problema grave; si son los menos importantes, puede ser una buena priorización de recursos limitados. Y lo mismo con la gravedad de lo que queda sin parchear. Las métricas demasiado simples no dan información suficiente para saber qué corregir.

La propuesta de la guía es una matriz que cruza la importancia del activo con la gravedad de la vulnerabilidad y, en cada celda, mira el porcentaje parcheado dentro del plazo del plan de mantenimiento, el tiempo medio y la mediana. La tabla resumen_simple muestra lo que Vitalcor lleva hoy al comité.

Para llenar una celda de la matriz hace falta el plazo de esa combinación, que sale del plan de mantenimiento, y los días que tardó cada parche. Un parche cuenta como cumplido si se instaló en un número de días menor o igual al plazo.

Toma la celda de activos de importancia alta con vulnerabilidades críticas. El plazo está en la tabla planes y los datos de los parches, en parcheos_completados. Calcula qué porcentaje se instaló dentro del plazo.

El promedio de días se deja arrastrar por los casos extremos: un parche que tardó mucho sube el promedio aunque el resto haya ido bien. La mediana, el valor central una vez ordenados los tiempos, dice cuánto tarda un caso típico. La guía incluye en cada celda tanto el tiempo medio como la mediana, porque juntos muestran si hay una cola de casos lentos.

Con los mismos parches de la celda anterior, calcula la mediana de días.

Las métricas empresariales se construyen con datos de bajo nivel, y si estos son imprecisos, todo lo calculado sobre ellos lo será. La guía da dos ejemplos: escanear solo una vez al mes subestima las vulnerabilidades presentes y da una imagen engañosa del programa, y los escaneos pasivos sin autenticar suelen subdeclarar frente a los autenticados.

La tabla fuentes_de_datos dice cómo se obtienen hoy los datos de las estaciones.