Vulnerability Operations Center

Ciclo de vida

Un ciclo, gestionado de principio a fin

Un VOC opera el ciclo de vida de las vulnerabilidades como una operación continua con traspasos claros, no como un escaneo trimestral y una hoja de cálculo.

01
Inventariar
Conciliar cada activo con un responsable, un nivel de criticidad y una exposición.
02
Descubrir
Escaneos autenticados, agentes, nube y código, con cobertura medida.
03
Priorizar
Combinar CVSS, EPSS, KEV y contexto del activo en pocos niveles.
04
Remediar
Agrupar por corrección, enrutar al responsable y seguir un SLA basado en riesgo.
05
Verificar
Cerrar con evidencia de escaneo; gestionar excepciones con fecha de caducidad.
06
Informar
Mostrar tendencias de remediación, cumplimiento de SLA y exposición a la dirección.

Área del VOC

El mapa del VOC

Ocho áreas que, juntas, forman un centro de operaciones de vulnerabilidades que funciona. Empiece por la que más duele: cada una enlaza con guías concretas y prácticas.

Principios

Lo que distingue un VOC de un equipo de escaneo

01
Riesgo, no severidad
Una puntuación base de CVSS describe una vulnerabilidad. La prioridad también necesita evidencia de explotación y lo que el activo significa para el negocio.
02
Corregir por responsable, no por CVE
Agrupe los hallazgos en el cambio que los elimina — un parche, una actualización, una configuración — y asígnelo al equipo que puede desplegarlo.
03
Verificar, no fiarse de los tickets
Un ticket cerrado es una afirmación. Un reescaneo limpio o datos recientes del agente son evidencia. Solo la evidencia cierra un hallazgo.
04
Medir el flujo, no el volumen
El número bruto de hallazgos sube cada vez que mejora la cobertura. El tiempo de remediación, el cumplimiento de SLA y las ventanas de exposición muestran si el riesgo realmente disminuye.

Guías

Últimas guías

Las guías se escriben primero en inglés; las traducciones llegarán después.

Ver todas las guías

08 · Panorama de herramientas25 sept 2026EN

The vulnerability management tooling landscape

A vendor-neutral map of VOC tool categories — inventory, scanners, cloud, containers, SCA, EASM, aggregation, ticketing — and how to choose and connect them.

#tooling#scanners#sbom#rbvm

07 · Métricas e informes24 sept 2026EN

Communicating vulnerability risk to leadership

How a VOC reports to executives and the board: audiences, a one-page structure, KRIs vs KPIs, trends over snapshots, and what to leave out.

#reporting#board#kri#metrics

07 · Métricas e informes23 sept 2026EN

Vulnerability management metrics that matter

Define and compute the metrics a VOC needs: time to remediate with percentiles, SLA compliance, coverage, backlog age, KEV exposure windows and reopen rate.

#metrics#mttr#sla#coverage

06 · Excepciones y aceptación del riesgo21 sept 2026EN

Vulnerability exceptions and risk acceptance

Run a vulnerability exception process that stays honest: exception types, approval by risk level, compensating controls, expiry and an auditable register.

#risk-acceptance#exceptions#governance#compensating-controls

05 · Flujo de remediación18 sept 2026EN

Remediation workflow and ticketing for a VOC

An end-to-end remediation workflow: deduplicate findings, group them by fix, route to owners, integrate with ITSM, and close only on rescan evidence.

#remediation#ticketing#itsm#patch-management

05 · Flujo de remediación16 sept 2026EN

Remediation SLAs: setting deadlines teams can meet

Design risk-based vulnerability remediation SLAs: tiers instead of raw CVSS, when the clock starts and pauses, escalation, and measuring compliance.

#sla#remediation#policy#patch-management