Durante años, la gestión de vulnerabilidades en las corporaciones ha seguido una regla casi matemática: si un fallo obtenía una puntuación alta en el CVSS (Common Vulnerability Scoring System), se priorizaba de inmediato. En cambio, si la puntuación era baja, se relegaba al final de la cola. Cada fallo recibía su identificador oficial mediante un código CVE (Common Vulnerabilities and Exposures), basando su criticidad en parámetros teóricos fijos que los analistas introducen en herramientas como la Calculadora de puntuación CVSS del NIST. Los equipos de seguridad asumían ciegamente que la gravedad matemática de la métrica equivalía al riesgo real de su infraestructura.
Ejemplo de cálculo teórico (CVSS 9.8): El modelo tradicional del NIST mide la gravedad potencial de un CVE de forma aislada, sin tener en cuenta si está siendo explotado de verdad en el mundo real.
Sin embargo, ante el panorama actual de amenazas, este modelo estático plantea importantes desafíos operativos debido a la publicación masiva y constante de vulnerabilidades con puntuaciones CVSS críticamente altas. Esta saturación de alertas de máxima gravedad diluye la capacidad de respuesta de los equipos de defensa, abriendo un debate fundamental para los responsables de seguridad: cómo determinar con precisión qué fallos deben resolverse en primer lugar basándose en un criterio de riesgo real.
La respuesta no está en la severidad teórica del código, sino en el contexto de explotación real. Este cambio de paradigma ha sido consolidado recientemente por organismos internacionales como la CISA a través de nuevas directrices de respuesta ante riesgos, marcando el camino sobre cómo la inteligencia de amenazas (CTI) debe intervenir en la toma de decisiones.
Para superar las limitaciones del modelo tradicional, la Directiva Operativa Vinculante (BOD) de CISA ha establecido una lógica de priorización completamente diferente. Ya no importa solo la puntuación del CVSS, lo que determina la urgencia es el contexto operativo del fallo.
Como se puede observar en el flujo de toma de decisiones de la infraestructura de remediación de CISA, las preguntas clave cambian radicalmente:
A partir de estas variables, los plazos para solucionar el fallo se vuelven dinámicos y se dividen en cuatro niveles claros según el riesgo: 3 días (que exige además un análisis forense urgente) para los casos más críticos y expuestos, 14 días para amenazas graves pero no automatizadas, 60 días para fallos con menor exposición en la red, y finalmente, corregir el problema en la siguiente actualización del sistema cuando el impacto es mínimo o no hay un peligro real de ataque.
Diagrama de árbol del cronograma de remediación del documento CISA BOD 26-04
Para resolver la desconexión entre la gravedad teórica de un CVE y el peligro real, SOC no puede depender únicamente de los boletines oficiales, necesita un puente que conecte sus defensas con el ecosistema del atacante. Es aquí donde la integración de una plataforma de Ciberinteligencia de Amenazas en el centro de la estrategia mitiga la saturación de alertas, permitiendo enriquecer cada vulnerabilidad con información contextual en tiempo real y redefinir su verdadera criticidad bajo tres pilares operativos:
Como respuesta tecnológica a este desafío, en Byron Labs desarrollamos Vysion, una plataforma de ciberinteligencia diseñada para integrarse directamente en este flujo de toma de decisiones. Cuando los analistas identifican un código CVE dentro de la organización, Vysion les permite auditar su estado real indexando continuamente foros de la Dark Web, repositorios de filtraciones de ransomware y canales cifrados de mensajería .
Para entender cómo se materializa esta visibilidad en el día a día del analista, la plataforma permite acceder directamente a las fuentes de origen donde se fraguan las amenazas:
Vista de amenazas en foros de la Dark Web dentro de Vysion: Indexación y previsualización de un hilo técnico en un foro cerrado, donde un actor malicioso comparte un script de explotación para un CVE (una inyección SQL de WordPress) antes de que la amenaza se propague de manera masiva.
Al procesar millones de registros diarios mediante modelos de Machine Learning entrenados en el lenguaje del cibercrimen, la plataforma descarta el ruido genérico y aporta la trazabilidad necesaria para que el SOC valide el origen de la amenaza. De este modo, Vysion demuestra cómo la CTI especializada transforma el volumen masivo de alertas en una estrategia de mitigación visual, auditable y basada en evidencias reales del mercado criminal.