Cobertura: lo que el escáner no ve

La cobertura se calcula contra el inventario de activos, no contra lo que el escáner reporta. Si el denominador es «lo que el escáner conoce», la cobertura siempre parece alta: lo que el escáner no conoce no aparece en ninguna parte. El denominador correcto es el inventario, y cada activo debe estar en uno de dos estados: escaneado dentro del periodo que fija la política o excluido con una excepción aprobada y con fecha de vencimiento.

Hay una segunda dimensión: la profundidad. Un escaneo con credenciales entra al sistema con una cuenta de lectura y puede ver los programas instalados y su nivel de parches. Uno sin credenciales solo observa lo que el activo muestra por la red, así que deja pasar lo que solo se ve desde dentro. Que un activo figure como «escaneado» no dice cuánto se vio.

El inventario de Peñalisa tiene doce activos. La política pide que todos se escaneen al menos cada 30 días, o que estén excluidos con aprobación y vencimiento. El método para encontrar huecos es un cruce de tres tablas: lo que debería estar (inventario), lo que se escaneó y lo que se excluyó. Lo que está en la primera y en ninguna de las otras dos es un punto ciego.

Un punto ciego es peor que un activo excluido: la exclusión, aunque sea discutible, deja constancia de que alguien decidió; el punto ciego es un activo sobre el que nadie ha decidido nada.

Un activo escaneado hace tres meses no cumple una política de 30 días: la fotografía está vieja y los parches y las vulnerabilidades nuevas no se ven. Para medir cuántos activos cumplen hay que mirar la fecha de cada escaneo frente al corte del 30 de septiembre de 2026, no solo comprobar que el activo figure en la lista.

Cuenta los activos del inventario cuyo último escaneo cae dentro de los 30 días anteriores al corte, es decir, desde el 31 de agosto inclusive.

La política exige que toda exclusión tenga quien la apruebe y una fecha de vencimiento. Una exclusión sin esas dos cosas equivale a un activo que se dejó de mirar sin que nadie lo decidiera. En el registro hay dos exclusiones: una de un controlador industrial, con un motivo técnico razonable, y otra con una justificación débil.

Revisa las columnas de aprobación y vencimiento de ambas.

Al revisar la tabla de escaneos aparece que el servidor de la base de datos de clientes se escanea sin credenciales. Los responsables lo cuentan como cubierto. La base de datos guarda información de clientes y es de las más sensibles de la empresa.

Un escaneo sin credenciales ve lo que se alcanza por la red: servicios abiertos y versiones que el servicio revela. No ve el nivel de parches del sistema operativo ni el software instalado que no escucha en la red. Por eso un activo sensible escaneado sin credenciales tiene una cobertura parcial.