Una evaluación de vulnerabilidades es una revisión periódica y autorizada de los equipos y sistemas para encontrar debilidades conocidas —software sin parchar, configuraciones inseguras, servicios expuestos— antes de que alguien las aproveche.
Es como la revisión anual de un edificio por protección civil: se recorre con una lista, se anota cada problema con su gravedad y se fija un plazo para corregirlo. Después se vuelve a revisar.
En términos técnicos
- Se usan escáneres de vulnerabilidades que comparan lo que encuentran (versiones, configuraciones) con bases de datos de fallas conocidas (CVE).
- Puede ser sin credenciales (lo que ve alguien desde la red) o con credenciales (entra al equipo y revisa software y configuración; es más completa).
- El resultado es una lista de hallazgos con su gravedad que hay que priorizar, corregir y verificar.
- No es una prueba de penetración: la evaluación identifica y prioriza; la prueba de penetración intenta, con autorización y reglas acordadas, demostrar hasta dónde podría llegar un atacante.
¿Dónde la vas a encontrar?
En las áreas de seguridad de empresas y gobiernos (con escaneos mensuales o continuos), en las auditorías, en los requisitos de normas como PCI DSS para pagos con tarjeta y en los servicios que ofrecen los proveedores de seguridad.