Tienes doce mil vulnerabilidades abiertas y un equipo de parcheo pequeño. ¿Cómo priorizas?

Empieza por la realidad de la explotación, no por el CVSS en crudo. Parchea primero todo lo que esté en el catálogo de Known Exploited Vulnerabilities de CISA, luego ordena por EPSS para capturar lo que probablemente se explote pronto. Pondera por exposición (lo expuesto a internet gana a lo interno) y por criticidad del activo, y ten en cuenta los controles compensatorios. Agrupa el trabajo restante por acción de remediación en vez de por CVE, porque a menudo una sola actualización de agente cierra cientos de hallazgos.

Doce mil hallazgos son en realidad unos pocos cientos de arreglos, así que el primer movimiento es deduplicar: agrupar por acción de remediación, porque una sola subida de versión del navegador o una actualización de agente suele colapsar mil filas. Luego ordeno. Todo lo que esté en el catálogo de Known Exploited Vulnerabilities se salta la cola sin importar su puntuación CVSS, porque eso es explotación real confirmada. Después uso EPSS para la probabilidad y superpongo la exposición: primero lo expuesto a internet, luego lo alcanzable desde una estación de trabajo de usuario, y después los sistemas internos aislados. Una puntuación crítica en un dispositivo aislado sin ningún servicio a la escucha no es mi problema este mes. Con lo que queda voy a los responsables de sistemas con una lista corta y concreta en vez de un volcado de hoja de cálculo, porque una lista de seis cosas se parchea y una de seiscientas no. Todo lo que realmente no se pueda parchear recibe una excepción escrita con un control compensatorio y una fecha de caducidad, y reporto la antigüedad de las excepciones para que no se vuelvan permanentes sin que nadie se entere.