{"id":28339,"date":"2025-08-03T23:38:30","date_gmt":"2025-08-04T05:38:30","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=28339"},"modified":"2025-08-10T22:10:20","modified_gmt":"2025-08-11T04:10:20","slug":"cvss-rbvm-vulnerability-management","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/cvss-rbvm-vulnerability-management\/28339\/","title":{"rendered":"Del CVSS a la RBVM: c\u00f3mo priorizar correctamente las vulnerabilidades"},"content":{"rendered":"

Cuando te encuentras por primera vez con el Sistema com\u00fan de puntuaci\u00f3n de vulnerabilidades<\/u> (CVSS, por sus siglas en ingl\u00e9s), es f\u00e1cil pensar que es la herramienta perfecta para clasificar y priorizar las vulnerabilidades. Una puntuaci\u00f3n m\u00e1s alta debe significar una vulnerabilidad m\u00e1s cr\u00edtica, \u00bfverdad? En realidad, ese enfoque no funciona del todo bien. Cada a\u00f1o, vemos un n\u00famero creciente de vulnerabilidades con puntuaciones altas en el CVSS. Los equipos de seguridad simplemente no pueden parchearlas todas a tiempo, pero la gran mayor\u00eda de estos defectos nunca llegan a explotarse en ataques reales. Mientras tanto, los atacantes aprovechan constantemente vulnerabilidades menos llamativas con puntuaciones m\u00e1s bajas. Tambi\u00e9n hay otras trampas ocultas, que van desde problemas puramente t\u00e9cnicos, como puntuaciones conflictivas en el CVSS, hasta cuestiones conceptuales, como la falta de contexto empresarial.<\/p>\n

Estas no son necesariamente deficiencias del propio CVSS. En cambio, esto pone de manifiesto la necesidad de usar la herramienta correctamente, como parte de un proceso de gesti\u00f3n de vulnerabilidades m\u00e1s sofisticado y completo.<\/p>\n

Discrepancias en el CVSS<\/h2>\n

\u00bfAlguna vez has notado c\u00f3mo la misma vulnerabilidad puede tener diferentes puntuaciones de severidad seg\u00fan la fuente disponible? \u00bfUna puntuaci\u00f3n del investigador de ciberseguridad que la encontr\u00f3, otra del proveedor del software vulnerable y otra m\u00e1s de una base de datos nacional de vulnerabilidades? No siempre se trata de un simple error. A veces, diferentes expertos pueden discrepar sobre el contexto de explotaci\u00f3n. Es posible que tengan diferentes ideas sobre los privilegios con los que se ejecuta una aplicaci\u00f3n vulnerable o sobre si est\u00e1 conectada a Internet. Por ejemplo, un proveedor podr\u00eda basar su evaluaci\u00f3n en sus mejores pr\u00e1cticas recomendadas, mientras que un investigador de seguridad podr\u00eda considerar c\u00f3mo se configuran habitualmente las aplicaciones en las organizaciones del mundo real. Un investigador podr\u00eda calificar la complejidad del exploit como alta, mientras que otro la considerar\u00eda baja. Esto no es algo poco com\u00fan. Un estudio de 2023 realizado por Vulncheck<\/a> concluy\u00f3 que el 20\u00a0% de las vulnerabilidades en la Base de datos nacional de vulnerabilidades (NVD, por sus siglas en ingl\u00e9s) ten\u00edan dos puntuaciones CVSS3 provenientes de diferentes fuentes, y el 56\u00a0% de esas puntuaciones emparejadas estaban en conflicto entre s\u00ed.<\/p>\n

Errores comunes al usar el CVSS<\/h2>\n

Durante m\u00e1s de una d\u00e9cada, FIRST<\/a> ha defendido la aplicaci\u00f3n metodol\u00f3gicamente correcta del CVSS. Sin embargo, las organizaciones que utilizan las puntuaciones del CVSS en sus procesos de gesti\u00f3n de vulnerabilidades contin\u00faan cometiendo errores t\u00edpicos:<\/p>\n

    \n
  1. Usar la puntuaci\u00f3n base del CVSS como indicador principal de riesgo. El CVSS mide la severidad de una vulnerabilidad, no cu\u00e1ndo se explotar\u00e1 ni el posible impacto de su explotaci\u00f3n en la organizaci\u00f3n atacada. A veces, una vulnerabilidad cr\u00edtica es inofensiva dentro del entorno espec\u00edfico de una empresa porque reside en sistemas insignificantes y aislados. Por el contrario, un ataque de ransomware a gran escala podr\u00eda comenzar con una vulnerabilidad de fuga de informaci\u00f3n aparentemente inocua con una puntuaci\u00f3n de 6 en el CVSS.<\/li>\n
  2. Utilizar la puntuaci\u00f3n base del CVSS sin los ajustes de amenaza\/temporal y ambiental. La disponibilidad de parches, exploits p\u00fablicos y medidas compensatorias influye considerablemente en la forma y en la urgencia con que debe abordarse una vulnerabilidad.<\/li>\n
  3. Centrarse solo en las vulnerabilidades por encima de una puntuaci\u00f3n determinada. Este enfoque a veces es exigido por el gobierno o los reguladores del sector (\u201cremediar vulnerabilidades con una puntuaci\u00f3n del CVSS superior a 8 en un mes\u201d). Como resultado, los equipos de ciberseguridad se enfrentan a una carga de trabajo en continuo crecimiento que, en realidad, no hace que su infraestructura sea m\u00e1s segura. El n\u00famero de vulnerabilidades con puntuaciones altas en el CVSS identificadas anualmente ha aumentado r\u00e1pidamente durante los \u00faltimos 10 a\u00f1os<\/a>.<\/li>\n
  4. Emplear el CVSS para evaluar la probabilidad de explotaci\u00f3n. Estas m\u00e9tricas est\u00e1n poco correlacionadas: solo el 17\u00a0% de las vulnerabilidades cr\u00edticas<\/a> se aprovechan en ataques.<\/li>\n
  5. Utilizar solo la puntuaci\u00f3n del CVSS. La cadena de vectores estandarizada se introdujo en el CVSS para que los defensores pudieran comprender los detalles de una vulnerabilidad y calcular de forma independiente su importancia dentro de su propia organizaci\u00f3n. CVSS 4.0 se revis\u00f3 espec\u00edficamente para facilitar la consideraci\u00f3n del contexto empresarial mediante m\u00e9tricas adicionales. Cualquier esfuerzo de gesti\u00f3n de vulnerabilidades basado \u00fanicamente en una calificaci\u00f3n num\u00e9rica ser\u00e1 en gran medida ineficaz.<\/li>\n
  6. Ignorar fuentes de informaci\u00f3n adicionales. Basarse en una \u00fanica base de datos de vulnerabilidades y analizar solo el CVSS no es suficiente. La ausencia de datos sobre parches, pruebas de concepto funcionales y casos de explotaci\u00f3n del mundo real dificulta la decisi\u00f3n de c\u00f3mo abordar las vulnerabilidades.<\/li>\n<\/ol>\n

    Lo que el CVSS no te dice sobre una vulnerabilidad<\/h2>\n

    El CVSS es el est\u00e1ndar del sector para describir la gravedad de una vulnerabilidad, las condiciones en las que se puede explotar y su posible impacto en un sistema vulnerable. Sin embargo, m\u00e1s all\u00e1 de esta descripci\u00f3n (y la puntuaci\u00f3n base del CVSS), hay muchas cosas que no abarca:<\/p>\n