El artículo 24 letra h) de la Ley 21.663 exige que las organizaciones cuenten con un proceso formal para identificar, documentar y gestionar vulnerabilidades de seguridad, permitiendo responder oportunamente a los requerimientos del CSIRT Nacional. No se trata de ejecutar un escaneo puntual: se requiere un ciclo continuo y documentado.
Es el proceso sistemático de identificar, evaluar, tratar y reportar debilidades de seguridad en los activos de información de una organización. A diferencia de un ethical hacking puntual, la gestión de vulnerabilidades es un proceso continuo e integrado al SGSI que genera evidencia trazable para cumplimiento regulatorio.
Descubrimiento continuo de vulnerabilidades en sistemas, aplicaciones, redes e infraestructura mediante escaneos automatizados, pruebas de penetración y análisis de inteligencia de amenazas.
Evaluación de cada vulnerabilidad según su criticidad (CVSS), el contexto del activo afectado, la exposición al exterior y el impacto potencial en la continuidad del servicio.
Aplicación de parches, cambios de configuración, controles compensatorios o aceptación documentada del riesgo residual. Cada acción debe quedar registrada con responsable, fecha y resultado.
Confirmación de que la remediación fue efectiva, monitoreo continuo de reincidencias y actualización del registro de vulnerabilidades para mantener trazabilidad ante la ANCI.
Cuando el CSIRT Nacional solicite información sobre vulnerabilidades, tu organización debe poder entregar: