El 15 de abril de 2026, el Instituto Nacional de Estándares y Tecnología (NIST) formalmente abandonado Su misión de larga data es enriquecer toda la información sobre vulnerabilidades publicada en su base de datos.
El NIST gestiona la Base de Datos Nacional de Vulnerabilidades (NVD), que contiene información sobre vulnerabilidades y exposiciones comunes (CVE). Cada CVE representa una vulnerabilidad de software o hardware.
Las vulnerabilidades CVE no contienen mucha información por sí solas, y ahí es donde entra en juego el NIST. A cada una de ellas les asigna una puntuación del Sistema Común de Puntuación de Vulnerabilidades (CVSS) que indica su gravedad. También les asigna identificadores de Enumeración Común de Plataformas (CPE), que es una forma estándar de vincular las vulnerabilidades con productos tecnológicos específicos.
El NIST ha estado enriqueciendo diligentemente las CVE desde que se creó el NVD en 1999, pero eso acaba de cambiar. Con la política reestructurada, el enriquecimiento completo se limita a las CVE de tres categorías prioritarias: el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, el software utilizado por las agencias federales de EE. UU. y el software crítico de la Orden Ejecutiva 14028. Todo lo demás se clasifica como de "Mínima Prioridad".
Una creciente ola de vulnerabilidades
La reestructuración del NIST es un reconocimiento de la sobrecarga de trabajo. Ha tenido que lidiar con un aumento drástico en el volumen de CVE. Según el NIST, las presentaciones al NVD aumentaron un 263 % entre 2020 y 2025, y el primer trimestre de 2026 registró casi un tercio más de casos que el mismo período del año anterior. El año pasado, se identificaron aproximadamente 42 000 vulnerabilidades (un 45 % más que en cualquier año anterior).
La agencia no ha podido seguir el ritmo del creciente volumen de trabajo. El año pasado, su acumulación de casos pendientes se duplicó con creces. En abril, anunció una forma de quiebra en materia de CVE (Combate contra el Extremismo Violento), trasladando miles de registros pendientes, publicados antes del 1 de marzo de 2026, a la categoría de "No programados", que podría o no ser atendidos en el futuro.
El enriquecimiento de NVD tampoco había estado cumpliendo con las expectativas de calidad. Un inspector general del Departamento de Comercio una estrategia SEO para aparecer en las búsquedas de Google. Se constató que las puntuaciones de gravedad del NIST coincidían con las de los evaluadores independientes solo en el 12 % de los casos, mientras que casi el 80 % de las solicitudes ya incluían puntuaciones de la parte informante.
La creciente brecha de vulnerabilidad
Esto supone un gran avance para los equipos de gestión de vulnerabilidades. Sin datos CPE, los escáneres de vulnerabilidades que dependen exclusivamente del enriquecimiento derivado de NVD no pueden asociar un CVE a un producto. El NIST reconoció que los nuevos criterios «pueden no detectar todos los CVE potencialmente de alto impacto».
Todo esto ocurre en un momento en que la explotación de vulnerabilidades se está volviendo aún más trascendental. Superó al robo de credenciales como el principal vector de brechas en más de 31,000 incidentes revisados. según los estándares Informe de Verizon sobre las investigaciones de filtraciones de datos.
También se está automatizando cada vez más. Informe anual de amenazas de 2026 Se concluyó que los adversarios con capacidades de IA aumentaron los ataques en un 89 % interanual en 2025, y que los intrusos desplegaron IA generativa en "la selección de objetivos, el acceso inicial y el desarrollo de malware y otras herramientas".
Y la velocidad de los informes de vulnerabilidades parece que aumentará aún más drásticamente. Consideremos Mythos, el modelo de IA antrópica que ya vulnerabilidades descubiertas en masa y probablemente le seguirán otros modelos competitivos.
Sin embargo, las organizaciones permanecen inmóviles. La velocidad de las contramedidas se queda rezagada con respecto a la evolución de los ataques automatizados: 77% Según la Cloud Security Alliance, muchas organizaciones empresariales aún necesitan más de una semana para implementar un parche crítico. No es de extrañar que también haya constatado que entre el 38 % y el 45 % de las vulnerabilidades críticas del sector permanecen sin parchear en cualquier momento dado.
De la gestión ad hoc a la resiliencia ante la vulnerabilidad
Los enfoques de gestión de vulnerabilidades deben adaptarse para poder afrontar estos desafíos. Las empresas deben empezar a considerar la gestión de vulnerabilidades como parte de una iniciativa de resiliencia más amplia. Esto debería incluir un análisis de la explotabilidad desde una perspectiva más integral.
Entre las medidas que se incluyen, se prioriza la visibilidad de lo que ocurre en la pila tecnológica de principio a fin, para comprender no solo qué es vulnerable en la infraestructura, sino también cuál es su alcance y su impacto organizativo.
También implica alejarse de la gestión de vulnerabilidades centrada en CVSS. Eso nunca fue una buena idea, porque una sola puntuación no puede evaluar adecuadamente el riesgo que una vulnerabilidad representa para la organización.
A Estudio Un estudio realizado por la Universidad de Kagawa en Japón reveló que los enfoques basados únicamente en CVSS con un umbral de gravedad de 7.0 alcanzan tasas de eficiencia de tan solo entre el 0.2 % y el 0.5 %. Esto significa que este método de clasificación empresarial tan limitado aborda solo una pequeña fracción de las vulnerabilidades que realmente son explotables.
En comparación, el estudio reveló que los marcos integrados ofrecen mejores resultados. El Sistema de Puntuación de Predicción de Explotación (EPSS), desarrollado por el Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST), es un modelo de aprendizaje automático que asigna a las vulnerabilidades una puntuación que indica la probabilidad de que sean explotadas en el mundo real durante los próximos 30 días.
Según el estudio de Kagawa, la combinación de CVSS, EPSS y datos de la lista KEV de CISA reduce la carga de trabajo de priorización urgente en aproximadamente un 95%, pasando de unas 16,000 a 850 vulnerabilidades, al tiempo que mantiene una cobertura del 85.6%.
El NIST ya ha ampliado su cobertura más allá de CVSS. En junio, actualizó la NVD para incluir datos de Categorización de Vulnerabilidades Específicas para las Partes Interesadas (SSVC), procedentes de CISA. Este es un marco de decisión para priorizar la remediación de vulnerabilidades, desarrollado por el Instituto de Ingeniería de Software de Carnegie Mellon (CERT/CC) junto con CISA. CISA proporciona esta información como parte del programa Vulnrichment, su propio intento de enriquecer la información de CVE. Así, la NVC ha pasado de un modelo más superficial y general a uno más específico y completo que adopta una visión más holística de la explotabilidad.
Manual de Operaciones del SGSI
Para los responsables de cumplimiento normativo, la cuestión práctica es qué marco de gobernanza puede absorber este cambio sin obligar a los equipos a reconstruir sus programas de vulnerabilidad desde cero.
ISO / IEC 27001 Controles del anexo A Está directamente alineado con el cambio. Considera la gestión de vulnerabilidades no como un ejercicio de puntuación, sino como un control integrado dentro de un sistema de gestión de seguridad de la información más amplio.
Control A.8.8 (Gestión de vulnerabilidades técnicas) Requiere que las organizaciones obtengan información oportuna sobre vulnerabilidades técnicas, evalúen la exposición y tomen las medidas adecuadas. También recomienda medidas adicionales más allá de la simple puntuación, como las pruebas de penetración.
Control A.5.7 (Inteligencia de amenazas) requiere la recopilación y el análisis de datos de amenazas exactamente del tipo que proporcionan EPSS y KEV. Lea junto con A.5.30 (Preparación de las TIC para la continuidad del negocio)El estándar plantea la gestión de vulnerabilidades como un insumo para la resiliencia operativa, en lugar de una salida de escáner independiente.
La certificación proporciona a los responsables de cumplimiento un registro de auditoría sólido cuando los reguladores preguntan cómo la organización priorizó los CVE sin enriquecimiento de NVD. El sistema de gestión debería poder citar aspectos como las fuentes de enriquecimiento comerciales, la monitorización de KEV y la puntuación EPSS dentro de los límites de control existentes.
No debemos restar importancia a la reciente acción del NIST, pero también debemos contextualizarla. Este cambio en las políticas obliga a las organizaciones a seguir un camino que ya deberían haber estado recorriendo. Es hora de utilizar múltiples fuentes de inteligencia y adoptar una perspectiva más integral sobre la vulnerabilidad, posicionando la gestión de vulnerabilidades como parte fundamental de un enfoque de resiliencia más amplio.
Amplíe su conocimiento
Podcast: Phishing para causar problemas T02 E05: Cumples con las normas. ¿Eres resiliente?
Guía: Informe sobre el estado de la seguridad de la información 2025
