Un escáner devuelve 4.000 hallazgos y el equipo se paraliza. Se empieza a «bajar el número» cerrando lo fácil, mientras las tres vulnerabilidades que de verdad importan siguen abiertas. Remediar bien no es cerrar muchas: es cerrar las correctas primero.
500 hallazgos no son 500 riesgos. Casi siempre, el riesgo real vive en un puñado.
La cantidad es una métrica de vanidad
Reportar «reducimos 4.000 a 1.500» suena a progreso, pero puede significar que se cerró lo irrelevante y se dejó lo explotable. La pregunta correcta no es cuántas cerraste, sino si cerraste las que un atacante realmente usaría.
Cuatro factores para priorizar por riesgo
- Explotabilidad: ¿existe un exploit público y funcional? Una vulnerabilidad con exploit en circulación pesa más que diez teóricas.
- Exposición: ¿el activo mira a internet o está aislado? Lo expuesto se remedia primero.
- Criticidad del activo: no es igual el portal de pagos que un servidor de pruebas. El impacto de negocio manda.
- Existencia de mitigación: a veces un control compensatorio reduce el riesgo mientras llega el parche definitivo.
Con esos cuatro factores, esos 4.000 hallazgos se convierten en una lista corta y accionable de lo que hay que cerrar esta semana. Priorizar por riesgo —no por cantidad— es lo que convierte la remediación en seguridad real, y no en un número para el informe.