Dirección
Cuando necesita entender qué exposición puede afectar procesos, activos o decisiones de inversión.
Capacidad estratégica
Gestión de Exposición y Riesgo
Visibilidad y priorización basada en riesgo para orientar decisiones de remediación sobre vulnerabilidades y exposición.
Situación que aborda
Una capacidad se define por la decisión que permite ordenar.
La acumulación de vulnerabilidades, activos externos y riesgos de terceros dificulta distinguir qué requiere atención primero. Esta capacidad convierte visibilidad técnica en criterios de priorización y decisiones de remediación.
Relevancia y señales
Para quién aplica y cuándo conviene revisarla.
Tecnología
Cuando debe enfocar recursos de remediación entre múltiples hallazgos y dependencias.
Seguridad
Cuando requiere consolidar vulnerabilidades, superficie externa, marca o terceros bajo criterios de riesgo.
Señales de alerta
No confirman por sí solas una brecha; indican que la capacidad merece revisión.
- Hay muchas vulnerabilidades, pero no una prioridad compartida.
- No existe visibilidad suficiente sobre activos o exposición externa.
- Credenciales, marca o activos digitales pueden estar expuestos sin seguimiento consistente.
- Los riesgos técnicos son difíciles de comunicar y sostener ante dirección.
Enfoque ActivosTI
Del contexto a una decisión trazable.
La secuencia se adapta al alcance acordado y mantiene la tecnología subordinada al riesgo y a la capacidad.
- 01
Identificar exposición
Consolidar los activos, hallazgos y fuentes incluidos en el alcance.
- 02
Agregar contexto
Relacionar criticidad, impacto y condiciones de exposición.
- 03
Priorizar por riesgo
Distinguir lo urgente de lo relevante antes de orientar remediación.
- 04
Dar trazabilidad
Observar recurrencia, estado y evolución sin asumir que ActivosTI ejecuta toda remediación.
Resultado según alcance
Entregables, evidencias e indicadores cumplen funciones distintas.
Se definen durante la conversación inicial. Los siguientes elementos son esperables o aplicables; no constituyen una promesa uniforme.
Entregables esperables
- Lectura priorizada de hallazgos y activos expuestos dentro del alcance.
- Criterios de riesgo para orientar decisiones de remediación.
- Ruta de seguimiento para hallazgos o exposiciones seleccionadas.
Evidencias esperables
- Inventario trazable de activos, vulnerabilidades o exposiciones revisadas.
- Contexto de riesgo y prioridad asignada a los hallazgos incluidos.
- Estado de remediación aportado por los responsables y recurrencia observada.
Indicadores aplicables
- Hallazgos críticos y altos dentro del alcance.
- Activos críticos expuestos y hallazgos recurrentes.
- Tiempo de remediación o riesgo por tercero cuando sean aplicables.
Tecnologías habilitadoras
La tecnología acompaña la capacidad; no la define.
Estas categorías pueden apoyar el alcance. No son nuevas capacidades, un inventario exhaustivo ni una recomendación automática de producto.
- Gestión de vulnerabilidades
- Priorización basada en riesgo (RBVM)
- Gestión de exposición externa
- Protección de marca
- Riesgo de terceros
Relación entre capacidades