Puntos clave
- El catálogo de vulnerabilidades explotadas conocidas (KEV) de la CISA identifica vulnerabilidades que se están explotando activamente, lo que ofrece un criterio más sólido para priorizar su corrección que las puntuaciones de gravedad por sí solas.
- NinjaOne Vulnerability Management muestra ahora el estado KEV junto con las puntuaciones CVSS para ayudar a los equipos de TI y seguridad a priorizar las vulnerabilidades en función del riesgo real.
- La corrección basada en el riesgo permite a las organizaciones centrar la aplicación de parches en vulnerabilidades que se están explotando activamente, en lugar de depender únicamente de las clasificaciones de gravedad asignadas por los proveedores.
- Los flujos de trabajo automatizados pueden acelerar la corrección de las vulnerabilidades incluidas en el catálogo KEV y facilitar una respuesta más rápida ante nuevas amenazas.
- La información de KEV refuerza las auditorías, el cumplimiento normativo, los seguros de ciberriesgo y los informes para la dirección al permitir tomar decisiones de corrección justificables y basadas en información sobre amenazas.
- A medida que la IA acelera el descubrimiento de vulnerabilidades y reduce el tiempo hasta su explotación, las organizaciones necesitarán cada vez más una priorización basada en el riesgo para gestionar el creciente volumen de vulnerabilidades pendientes de corregir.
Cada mes, cientos de vulnerabilidades reciben una clasificación de gravedad. Decenas de ellas se clasifican con el nivel de gravedad más alto posible. Para los equipos de TI y seguridad, esto genera un problema tan conocido como frustrante. Cuando todo parece urgente, resulta imposible establecer prioridades de verdad.
Aquí es donde entra en juego el catálogo de vulnerabilidades explotadas conocidas (KEV). Te indica qué vulnerabilidades se están explotando activamente. NinjaOne Vulnerability Management muestra ahora el estado KEV junto con las puntuaciones CVSS, para que tu equipo disponga de ambos indicadores en un mismo lugar.
¿Qué es el catálogo KEV de la CISA?
El sector de la seguridad creó KEV porque la gravedad por sí sola no basta. El catálogo KEV está gestionado por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA). Se trata de una lista seleccionada y actualizada continuamente de vulnerabilidades cuya explotación activa en ataques reales ha sido confirmada. Es decir, se sabe que representan un peligro real, no que simplemente hayan recibido una clasificación crítica por parte de un proveedor.
Una vulnerabilidad con una puntuación CVSS de 9,8 que nunca se haya observado en explotación activa tiene menor prioridad que otra con una puntuación de 8,1 incluida en el catálogo KEV de la CISA y que los atacantes estén utilizando activamente. La aplicación de parches basada únicamente en la gravedad da prioridad a la primera. La corrección basada en el riesgo da prioridad a la segunda.
Y no se trata de una situación hipotética. Ocurre constantemente. Una parte considerable de las vulnerabilidades incluidas en KEV tiene puntuaciones CVSS inferiores a 9,0, mientras que muchas vulnerabilidades con puntuaciones elevadas nunca llegan a explotarse activamente. La gravedad y la posibilidad de explotación están relacionadas, pero no son lo mismo.
Los organismos federales deben corregir las vulnerabilidades incluidas en KEV dentro de unos plazos definidos, y el catálogo se ha convertido rápidamente en uno de los indicadores más fiables de explotación real para los equipos de TI y seguridad.
Cómo funciona KEV en NinjaOne Vulnerability Management
La información de KEV está ahora integrada directamente en el flujo de trabajo de NinjaOne Vulnerability Management. Al analizar tu entorno, NinjaOne añade a cada vulnerabilidad detectada tanto su nivel de gravedad CVSS como su estado KEV, para ofrecerte una visión completa del riesgo real que representa.
De este modo, tu equipo puede priorizar las correcciones en función de la explotación activa y no solo de las clasificaciones de los proveedores. Puedes configurar flujos de trabajo automatizados que aceleren la aplicación de parches para las vulnerabilidades incluidas en KEV, independientemente de las políticas habituales basadas en la gravedad. También puedes demostrar a auditores, aseguradoras y responsables de la dirección que tus decisiones de corrección se basan en información real sobre amenazas y no en umbrales arbitrarios de gravedad.
Para los MSP que gestionan varios clientes, la información de KEV aporta además mayor confianza a los informes sobre las correcciones realizadas. Cuando un cliente pregunta por qué se ha dado prioridad a una vulnerabilidad concreta, dispones de una respuesta clara y justificable respaldada por datos de la CISA.
Una visión más amplia
Esta función llega en un momento especialmente relevante. Se espera que las iniciativas de descubrimiento de vulnerabilidades basadas en IA, como Mythos de Anthropic y Daybreak de OpenAI, aumenten considerablemente el número de vulnerabilidades descubiertas y reduzcan el tiempo entre su descubrimiento y su explotación activa. Las organizaciones tendrán que hacer frente a un volumen cada vez mayor de vulnerabilidades pendientes de corregir y a una presión creciente para actuar con mayor rapidez sobre las que realmente importan.
En ese contexto, será aún más valioso poder distinguir entre una vulnerabilidad grave y otra que se esté explotando activamente. La información de KEV permite a tu equipo hacer esa distinción desde hoy y prepararse para gestionar el ritmo cada vez más rápido al que se descubren nuevas vulnerabilidades.
Los clientes empresariales y los marcos de cumplimiento exigen cada vez más una priorización basada en el riesgo, no solo el cumplimiento de parches. La información de KEV es uno de los indicadores más claros disponibles para responder a esa exigencia y demostrar que tu estrategia de seguridad se centra en los riesgos reales.
Disponible ahora
La información de CISA KEV ya está disponible en NinjaOne Vulnerability Management. Si ya eres cliente de NinjaOne, la información de KEV está disponible desde hoy en tu panel de Vulnerability Management. Si todavía no has probado NinjaOne Vulnerability Management, este es un buen momento para empezar.
Empieza tu prueba gratuita en ninjaone.com/es/
