Gestión de vulnerabilidades: saber cuáles importan y cerrarlas
Escaneo continuo de imágenes, dependencias y sistemas, prioridad por riesgo real, parches verificados y un informe mensual que sirve en auditorías y en los cuestionarios de seguridad de vuestros clientes.
Herramientas habituales
- Wazuh
- WordPress
En resumen
Gestionar vulnerabilidades es encontrar las que afectan a vuestra plataforma, decidir cuáles importan de verdad y cerrarlas con prueba de que están cerradas. Escaneamos de forma continua imágenes, dependencias y sistemas con Trivy y Grype, priorizamos por riesgo real y no solo por la puntuación CVSS, aplicamos y verificamos los parches, mantenemos el inventario de software (SBOM) y os entregamos un informe mensual.
- Idiomas
- Español, catalán o inglés
- Respuesta
- El siguiente día hábil, en horario laboral
- Método
- En vuestra cuenta y vuestro repositorio, en código y documentado
Qué incluye
- Escaneo continuo con Trivy y Grype: imágenes, dependencias y sistemas.
- Escaneo en el pipeline de CI/CD, antes de llegar a producción.
- Prioridad por riesgo real, no solo por la puntuación CVSS.
- Parches en una ventana pactada, verificados con un nuevo escaneo.
- Inventario de software (SBOM) de cada imagen y servicio.
- Justificación y plan de cada vulnerabilidad que queda abierta.
- Informe mensual para ISO 27001, ENS y cuestionarios de clientes.
¿Para quién es?
Para empresas de software que escanean y se ahogan en resultados, o que no escanean y empiezan a necesitar demostrar que lo hacen:
- El escáner del registry o del pipeline devuelve cientos de vulnerabilidades y nadie sabe por dónde empezar.
- Un cliente os envía un cuestionario de seguridad que pregunta cómo gestionáis las vulnerabilidades.
- Estáis preparando ISO 27001 o el ENS y necesitáis evidencias mes a mes.
- Las imágenes base y los sistemas llevan meses sin actualizarse.
¿Qué hacemos cada mes?
Escanear
De forma continua, imágenes de contenedor, dependencias y sistemas con Trivy y Grype, también en el pipeline de CI/CD.
Priorizar
Por riesgo real: si está expuesto a internet, si hay explotación conocida y qué datos podría alcanzar. No solo por la puntuación CVSS.
Parchear
Imágenes base, sistemas y componentes de plataforma en una ventana pactada, con vuelta atrás; las dependencias de la aplicación, en una merge request para vuestro equipo.
Verificar
Un nuevo escaneo confirma que la vulnerabilidad ha desaparecido de verdad, no solo que se aplicó el parche.
Informar
Encontradas, corregidas y pendientes, cada pendiente con su justificación y su plan, y el inventario de software (SBOM) al día.
¿Qué recibís?
Un informe mensual que se entiende sin ser experto y que sirve tal cual como evidencia:
Encontradas y corregidas
Cuántas se han detectado, cuántas se han cerrado y verificado, y dónde estaban.
Pendientes con justificación
Por qué sigue abierta cada una, qué riesgo real tiene y cuándo se cierra.
Inventario de software (SBOM)
Qué componentes y versiones lleva cada imagen y servicio.
Es la misma sección de vulnerabilidades que va en el ejemplo de informe mensual, con datos ficticios. Os sirve para las auditorías de ISO 27001 o del ENS y para responder a los cuestionarios de seguridad que os envían vuestros clientes.
¿Cómo se contrata?
Va incluida en SRE como servicio. Si no necesitáis el servicio completo, se contrata por separado desde 300 €/mes, según el número de imágenes, servicios y entornos (precios orientativos, sin IVA). Si queréis saber antes de dónde partís, la auditoría de fiabilidad y seguridad incluye una primera revisión de imágenes y dependencias.
Todo se hace en vuestra cuenta cloud, en vuestro registry y en vuestro repositorio: los resultados y el inventario son vuestros.
Preguntas frecuentes
¿Por qué no basta con la puntuación CVSS?
Porque la puntuación mide la gravedad en abstracto, no en vuestra plataforma. Una vulnerabilidad crítica en una librería que no se usa o en un servicio sin acceso desde fuera puede esperar; una media en algo expuesto a internet y con explotación conocida, no. Priorizamos con ese contexto y lo dejamos escrito.
¿Sirve para ISO 27001 o ENS?
Sí como evidencia: el informe mensual muestra qué se ha encontrado, qué se ha corregido, qué queda pendiente y por qué, que es lo que suelen pedir los controles de gestión de vulnerabilidades técnicas. No somos entidad certificadora.
¿Tocáis el código de nuestra aplicación?
Actualizamos imágenes base, sistemas y componentes de plataforma. Cuando la corrección está en una dependencia de vuestra aplicación, preparamos el cambio en una merge request y vuestro equipo lo revisa y lo valida con sus pruebas antes de desplegarlo.
Contadnos vuestro caso
En una llamada gratuita de 20 minutos vemos dónde estáis y por dónde empezar. Sin compromiso.
Revisado el