Los 5 mejores proveedores de servicios de gestión de vulnerabilidades en 2026

Principales conclusiones

• Arctic Wolf, Critical Start y Rapid7 se encargan de realizar los análisis, mientras que, por lo general, tu equipo sigue siendo el encargado de aplicar los parches.
• Optiv es ideal para equipos que ya realizan análisis, pero que necesitan un plan de corrección y ayuda práctica para llevarlo a cabo.
• TuxCare proporciona las soluciones técnicas, incluidas las actualizaciones de seguridad para productos fuera de ciclo de vida y los parches del núcleo que no requieren reinicio.
• Antes de firmar nada, pregunta quién aplica cada parche y quién comprueba que realmente se haya aplicado.

Si buscas un proveedor de servicios de gestión de vulnerabilidades, los resultados agrupan cuatro tipos de empresas muy diferentes. Algunas venden software que tu equipo se encarga de gestionar. Otras gestionan el programa por ti. Otras evalúan lo que tienes y te ayudan a reestructurarlo, y unas pocas proporcionan ellas mismas las soluciones.

Los cinco proveedores que se indican a continuación no se han seleccionado a partir de una única tabla de puntuación. Cada uno de ellos representa una forma diferente de delegar parte del trabajo, por lo que la comparación más útil es la que se realiza dentro del modelo que mejor se adapta a lo que tu equipo no puede asumir. Para cada proveedor, verás qué ofrece, cuáles son sus límites y cuál es su precio.

Qué hace un proveedor de servicios de gestión de vulnerabilidades

Un proveedor de servicios de gestión de vulnerabilidades se encarga de parte del trabajo de detectar, priorizar y subsanar las brechas de seguridad. La cantidad de trabajo que realmente deja de recaer sobre ti depende del modelo que contrates, y la tabla siguiente muestra en qué puntos cada modelo traspasa la responsabilidad a tu equipo.

Modelo	¿Quién escanea?	¿Quién se encarga de la clasificación de pacientes?	¿Quién aplica las correcciones?	Contrato tipo	Ejemplos
Proveedor de herramientas	Tu equipo	Tu equipo	Tu equipo	Suscripción de software, cuyo precio suele fijarse en función del activo	Qualys, Tenable (no se describe aquí)
Proveedor gestionado (VMaaS)	Proveedor	Proveedor	Normalmente, tu equipo, a menos que añadas una opción de aplicación de parches	Suscripción limitada por direcciones IP, activos o servidores	Arctic Wolf, Rapid7, Critical Start
Empresa especializada en evaluaciones	Varía según el compromiso	Consultores que colaboran con tu equipo	Tu equipo o los consultores de los niveles superiores	Por proyecto o por contrato de colaboración	Optiv
Socio en materia de rehabilitación	Tu escáner	Tu equipo	El proveedor suministra los parches y tu equipo o un agente se encarga de aplicarlos	Suscripción por sistema	TuxCare

Proveedores de herramientas como Qualys y Tenable comercializan plataformas que gestiona tu equipo. Algunos proveedores integran esas plataformas en un servicio gestionado, que es precisamente lo que hace Critical Start con Qualys VMDR.

Las empresas especializadas en evaluaciones, como Optiv, funcionan de forma ligeramente diferente a los otros tres modelos. Analizan tu programa, elaboran un plan de corrección y, en los niveles superiores, proporcionan consultores para realizar el trabajo de forma práctica. Si has buscado empresas de evaluación de vulnerabilidades, probablemente esta sea la categoría que tenías en mente.

Lee la descripción del servicio: Un servicio gestionado no incluye automáticamente la aplicación de parches. En los servicios que aquí se describen, el alcance principal se centra en el análisis, la priorización y el asesoramiento, y la aplicación de las correcciones sigue siendo responsabilidad de su equipo, a menos que adquiera un nivel superior o un complemento. Pregunte quién aplica cada parche y quién confirma que ha funcionado. Para una distinción más amplia, consulte nuestra guía sobre gestión de parches frente a gestión de vulnerabilidades.

Comparación de los cinco proveedores de un vistazo

La tabla agrupa a los proveedores por modelo de prestación de servicios. Las celdas de precios muestran lo que publica cada proveedor, que, como podrás observar, no es gran cosa.

Proveedor	Modelo	Ideal para	¿Quién aplica las correcciones?	Precios
TuxCare	Socio en materia de rehabilitación	Software al final de su ciclo de vida y servidores Linux que no se pueden reiniciar fácilmente	Tu equipo o un agente aplica los parches que proporciona TuxCare	Suscripción por sistema
Optiv	Empresa especializada en evaluaciones	Organizaciones que cuentan con escáneres instalados y cuyo programa de corrección se encuentra estancado	Tu equipo o los consultores de Optiv del nivel más alto	Clasificado por nivel de implicación
Gestión de vulnerabilidades de Arctic Wolf Aurora	Proveedor gestionado	Equipos que desean tener un único equipo designado tanto para la detección como para la exposición	Asistencia para tu equipo o aplicación automática de parches para el software compatible a través del complemento Resolve	Basado en cotizaciones
Servicio de gestión de vulnerabilidades de Critical Start	Proveedor gestionado en la plataforma de un proveedor de herramientas	Compradores que desean que se les gestione Qualys VMDR	Tu equipo, que trabaja a partir de las listas de parches de Critical Start	Basado en presupuestos, tres niveles
Gestión de vulnerabilidades gestionada por Rapid7	Proveedor gestionado	Equipos que desean que se encarguen por ellos de las operaciones de análisis y de la revisión mensual	Tu equipo, con orientación prioritaria	Basado en cotizaciones

TuxCare

TuxCare se sitúa en una categoría diferente a la de los otros cuatro, así que tenlo en cuenta. No ejecuta un programa de análisis y clasificación por ti. Lo que ofrece son parches y actualizaciones de seguridad para software que es difícil de reparar a través de los canales habituales, ya sea porque ha superado el fin de vida útil del proveedor o porque el servidor no puede reiniciarse. Eso lo convierte en un socio de corrección, y tu equipo o un agente sigue encargándose de aplicar las soluciones.

Lo que obtienes

Actualizaciones de seguridad más allá del fin de la vida útil con el servicio «Endless Lifecycle Support»

Soporte de ciclo de vida ilimitado (ELS) proporciona actualizaciones de seguridad para los sistemas operativos una vez finalizado el ciclo de vida de soporte estándar del proveedor. Este mismo modelo abarca ecosistemas lingüísticos, entornos de ejecucióny aplicaciones tras sus fechas oficiales de fin de vida útil, lo cual es importante porque gran parte del riesgo asociado al fin de vida útil se esconde en las dependencias, más que en el sistema operativo. Las actualizaciones llegan a través de un repositorio de paquetes, por lo que tu equipo o sus herramientas de configuración las instalan como cualquier otra actualización.

Paquetes de código abierto evaluados con SecureChain

En el caso del código que aún se encuentra en fase de desarrollo activo, SecureChain sustituye los registros públicos por otros gestionados por TuxCare, que ofrecen paquetes de código abierto verificados, firmados y actualizados continuamente en JavaScript, Python, Java, Go, Rust y PHP. Tus gestores de paquetes apuntan al registro de TuxCare en lugar de al público, y las dependencias se instalan como de costumbre.

Aplicación de parches al núcleo en tiempo real con KernelCare

KernelCare aplica parches de seguridad a los núcleos de Linux en ejecución sin necesidad de reiniciar el sistema, por lo que las ventanas de mantenimiento ya no dictan cuándo se aplican las correcciones. El Complemento LibCare amplía la aplicación de parches en tiempo real a bibliotecas compartidas como OpenSSL y glibc. KernelCare cubre más de 70 versiones de distribuciones de Linux en las principales distribuciones de Linux para empresas, entre las que se incluyen RHEL, CentOS, Ubuntu, CloudLinux, Proxmox VE, Oracle Linux, Amazon Linux y Debian. Consulta la lista de compatibilidad para conocer las versiones exactas de tu kernel.

Precios

TuxCare fija el precio de sus productos de aplicación de parches por sistema. Comprueba la unidad, la duración del contrato y cualquier complemento del SLA cuando compares presupuestos, y confirma los precios actuales con el equipo de TuxCare.

Producto	Modelo de precios	Precio actual
KernelCare Enterprise	Por sistema	Confirmar con TuxCare
Asistencia durante todo el ciclo de vida	Varía según la línea	Confirmar con TuxCare

En qué destaca TuxCare

Las correcciones ya no tienen que esperar a una ventana de mantenimiento, ya que la aplicación de parches en tiempo real soluciona las vulnerabilidades en los hosts que no pueden reiniciarse. El software no compatible dispone de una fuente real de actualizaciones de seguridad mientras la migración espera por cuestiones de hardware, presupuesto o recertificación. Y, dado que los productos de aplicación de parches funcionan en paralelo con cualquier escáner que ya utilices, adoptarlos no implica tener que desinstalar nada.

Las carencias de TuxCare

TuxCare no será propietario de tu programa. El análisis y la clasificación siguen siendo responsabilidad de tu equipo o de otro proveedor, y no hay un equipo de analistas que se encargue de ello en tu nombre. La cobertura se centra principalmente en entornos de ejecución, lenguajes y aplicaciones de Linux y de código abierto. En Windows, se limita a entornos de ejecución seleccionados, como .NET y PHP, por lo que un entorno con gran presencia de Windows necesitará otro proveedor para obtener una cobertura más amplia.

¿Para quién es ideal TuxCare?

Los responsables de plataformas cuyos hallazgos quedan pendientes debido a la escasez de ventanas de cambio obtienen valor más rápidamente. Los propietarios de activos al final de su ciclo de vida son otro grupo al que esto se adapta claramente, ya se trate de una flota que aún utiliza CentOS 7 porque una aplicación rebelde bloquea la migración, o un servicio anclado a un entorno de ejecución que dejó de recibir soporte hace años. También resulta adecuado para equipos que ya han detectado los problemas, pero que simplemente no disponen de una solución compatible para ellos.

Optiv

Optiv comercializa el análisis gestionado de vulnerabilidades como un servicio independiente, pero los servicios de corrección que aquí se describen abordan la gestión de vulnerabilidades como un programa que hay que desarrollar o perfeccionar. Sus consultores establecen una referencia de tu situación actual, clasifican las tareas y guían el proceso de corrección a través de cuatro fases: detección, priorización, corrección y validación. El nivel de profundidad es ajustable. Una evaluación puntual es la opción más básica, mientras que la más completa consiste en la incorporación de consultores de Optiv a tu equipo.

Lo que obtienes

Las cuatro fases

La fase de detección identifica tus vulnerabilidades y a las personas responsables de los activos afectados, lo que te proporciona una referencia inicial. La fase de priorización clasifica los hallazgos según el riesgo y los convierte en un proceso de clasificación y una hoja de ruta. En la fase de corrección, tú eliges qué servicios quieres que ejecute Optiv. A continuación, la fase de validación verifica los resultados y los vincula con tus propias métricas e indicadores clave de rendimiento (KPI).

Niveles de apoyo en materia de asesoramiento

La página de medidas correctivas de Optiv enumera tres niveles. La evaluación y planificación (VMAP) incluye un taller inicial, un plan de corrección y la priorización en un momento determinado. El asesoramiento en corrección (VRAS) añade actualizaciones periódicas del plan, priorización y seguimiento continuos, asesoramiento sobre el programa e informes de indicadores clave de rendimiento (KPI), todo ello en torno a reuniones semanales con el cliente. El asesoramiento en corrección plus (VRAS Plus) incorpora soporte técnico práctico y personal adicional para agilizar el trabajo, con consultores que actúan como una extensión de su equipo.

Ayuda para la implementación y la migración de plataformas

Optiv también se encarga de la implementación, la configuración y el ajuste de plataformas de gestión de vulnerabilidades, y ha publicado material sobre cómo migrar de una a otra. Si el cambio de herramienta ya figura en tu plan de trabajo, esa tarea puede incluirse en el mismo proyecto.

Precios

Optiv adapta los proyectos al trabajo que conllevan, por lo que el precio depende del nivel de servicio y del esfuerzo necesario. Pregunta qué supuestos se tienen en cuenta en el presupuesto en cuanto al número de activos, el número de unidades de negocio y la duración, y confirma las condiciones actuales con Optiv.

Oferta	Modelo de precios	Precio actual
Evaluación y planificación (VMAP)	Clasificado por nivel de implicación	Confirmar con Optiv
Asesoramiento sobre medidas correctoras (VRAS)	Clasificado por nivel de implicación	Confirmar con Optiv
Asesoramiento sobre remediación plus (VRAS Plus)	Clasificado por nivel de implicación	Confirmar con Optiv

En qué destaca Optiv

El método por fases te ofrece una visión clara del «antes» y el «después». La fase de descubrimiento establece la línea de referencia, la validación la compara con ella y la diferencia entre ambas es fácil de explicar a la dirección. También puedes empezar poco a poco con una evaluación e ir añadiendo asesoramiento o apoyo práctico a medida que el programa madura, mientras que el trabajo de implementación, ajuste y migración se encarga de la parte relacionada con la plataforma.

Las carencias de Optiv

El asesoramiento es lo primero. Dos de los tres niveles se centran en la planificación, el establecimiento de prioridades y la orientación, y el trabajo práctico solo aparece en el nivel superior. Estos servicios de corrección no incluyen la realización de análisis diarios. Optiv comercializa por separado el servicio gestionado de análisis de vulnerabilidades, por lo que conviene preguntar si ambos servicios pueden incluirse en un mismo alcance. Los compradores sujetos a normativa deben solicitar directamente a Optiv los informes de garantía y las certificaciones que requiera su proceso de contratación.

Para quién es más adecuado Optiv

Los responsables de seguridad que ya cuentan con escáneres y una lista de tareas pendientes que no acaba de reducirse son los candidatos ideales. Los equipos que planean una migración de plataforma cuentan con un socio capaz de llevar a cabo la implementación de las herramientas al mismo tiempo que se producen los cambios en el programa. Los responsables que dependen de la dirección valorarán poder disponer de una línea de referencia, indicadores clave de rendimiento (KPI) y resultados validados que muestren qué ha cambiado.

Gestión de vulnerabilidades de Arctic Wolf Aurora

Arctic Wolf presentó Aurora Vulnerability Management en mayo de 2026 como la evolución de su servicio «Managed Risk», por lo que las reseñas más antiguas escritas bajo el nombre de «Managed Risk» se refieren a una versión anterior. Aurora VM analiza los activos internos y externos, clasifica los resultados teniendo en cuenta el contexto de las amenazas y la vulnerabilidad, y coordina todo ello con el equipo de seguridad «Concierge Security Team» (CST) de Arctic Wolf. Arctic Wolf también ofrece servicios gestionados de detección y respuesta, y ambos pueden compartir una misma plataforma.

Lo que obtienes

Un equipo de seguridad de conserjería específico

El CST es tu principal punto de contacto para el servicio. Analiza tus políticas de riesgo, la importancia de los activos, los ciclos de aplicación de parches y los objetivos de nivel de servicio, y luego te ayuda a priorizar qué hay que solucionar primero. Cuando surge un riesgo crítico, el equipo te ofrece orientación y te presta apoyo durante el proceso de corrección.

Análisis en redes, dispositivos finales y la nube

Aurora VM abarca el análisis de vulnerabilidades internas y externas, el inventario de activos y las comprobaciones de configuraciones erróneas de software. En los terminales, el agente de Arctic Wolf añade comprobaciones basadas en el host, ejecutando análisis de referencia CIS y análisis de vulnerabilidades basados en OVAL, y es compatible con Linux. La cobertura de la seguridad en la nube depende de cuál de las ofertas en la nube de Arctic Wolf se incorpore, por lo que conviene preguntar qué está incluido en el alcance para tus cuentas.

Orientaciones sobre la remediación y Resolve

Los resultados se muestran a través de un portal con paneles de control e informes bajo demanda. El soporte para la corrección incluye orientación basada en IA, acuerdos de nivel de servicio (SLA) personalizables para la corrección, integraciones con sistemas de gestión de servicios de TI (ITSM) y un nuevo análisis para confirmar que la corrección se ha mantenido. La implementación automatizada de parches se lleva a cabo a través del complemento Resolve, que permite a los equipos programar y aplicar parches para software de terceros compatible en los hosts que ejecutan el agente Arctic Wolf. Su lista de software compatible cuenta con unas 200 entradas, casi todas ellas aplicaciones de escritorio, como navegadores, lectores de PDF y Office. La mayoría son programas para Windows, y la docena aproximadamente de entradas para Linux incluyen aplicaciones como Chrome, Firefox, LibreOffice y Zoom.

Precios

Arctic Wolf establece el precio de Aurora VM en función del alcance de tu entorno y de los servicios que elijas. Pregunta qué unidades se incluyen en el presupuesto, si Resolve está incluido y cómo se combina con los servicios de detección, y luego confirma las cifras actuales con Arctic Wolf.

Plan	Modelo de precios	Precio actual
Gestión de vulnerabilidades de Aurora	Adaptado a tu entorno	Confírmalo con Arctic Wolf
Resolución	Complemento para Aurora Vulnerability Management	Confírmalo con Arctic Wolf
Gestión de vulnerabilidades de Aurora con detección y respuesta gestionadas	Incluido con el servicio de detección	Confírmalo con Arctic Wolf

En qué destaca Arctic Wolf

La mayor parte del valor reside en el CST, que aprende tus políticas y ciclos de aplicación de parches, por lo que trabajas con personas que ya conocen tu entorno. La cobertura es amplia para un único servicio, y es el único proveedor gestionado aquí que cuenta con una ruta documentada hacia la implementación automatizada de parches, a través de Resolve. Si también estás barajando la detección gestionada, Aurora VM puede compartir la plataforma y el equipo.

En qué aspectos se queda corto Arctic Wolf

Sin Resolve, obtienes orientación y un flujo de trabajo, y tu equipo sigue encargándose de implementar los parches. Incluso con Resolve, este está pensado para software de escritorio, por lo que los paquetes de servidor y las actualizaciones del núcleo siguen siendo responsabilidad tuya. Planificar el presupuesto con antelación resulta complicado, ya que las páginas públicas de Arctic Wolf sobre las máquinas virtuales Aurora no indican la unidad de precio. También hay que preguntar directamente sobre los detalles de Linux: averigua qué distribuciones admite el agente y qué comprobaciones realiza en ellas.

Para quién es ideal Arctic Wolf

Los directores de TI que no cuentan con un equipo de seguridad específico recurren a analistas externos que realizan análisis y les indican qué problemas deben solucionar en primer lugar. Los clientes que ya están buscando servicios de detección gestionada pueden cubrir ambas necesidades con un único proveedor y un único portal, y los equipos con entornos híbridos disponen de un único punto de contacto para la red, los terminales y la nube.

Servicio de gestión de vulnerabilidades de Critical Start

Critical Start se basa en el escáner. Su servicio de gestión de vulnerabilidades se ejecuta en Qualys VMDR, y Critical Start puede proporcionar la licencia de Qualys o ejecutar el servicio mediante una suscripción que ya tengas. En cualquier caso, tu equipo no tiene que configurar ni supervisar la plataforma. Critical Start anunció su disponibilidad general en agosto de 2024.

Lo que obtienes

Escaneo gestionado en Qualys VMDR

Los analistas de Critical Start se encargan de la supervisión operativa, los análisis programados y el análisis de datos. Los análisis abarcan objetivos externos e internos, utilizando agentes ligeros o escáneres remotos en función del entorno, y puedes optar por análisis totalmente gestionados o seguir realizándolos tú mismo.

Priorización y listas de parches

El servicio clasifica los resultados según el riesgo y los convierte en listas de parches recomendadas, que incluyen parches específicos de los proveedores y de terceros, para que tu equipo sepa qué implementar y dónde. El paquete incluye informes personalizables sobre vulnerabilidades y medidas correctivas.

Una consola compartida y enlaces para la gestión de incidencias

Los resultados aparecen en la propia plataforma de Critical Start, junto a sus alertas de detección gestionadas, el inventario de activos y las deficiencias en los controles de seguridad. El servicio también puede conectarse a tu sistema de gestión de incidencias para realizar un seguimiento de las correcciones hasta su cierre.

Precios

La página actual de servicios de Critical Start sitúa a VMS en la misma estructura de tres niveles que sus servicios MDR. Los niveles son Essentials, Enterprise y Signature, y cada nivel superior añade personas de contacto específicas, revisiones más frecuentes y compromisos de SLA más sólidos. Si Critical Start proporciona la licencia de Qualys, el presupuesto cubre tanto el escáner como el servicio. Pregunta en qué unidad se calcula el precio y confirma las cifras actuales con Critical Start.

Plan	Modelo de precios	Precio actual
Lo imprescindible	Servicio prestado por un equipo, basado en presupuestos	Confirmar con Critical Start
Empresa	Denominados CSM y TAM, basados en cotizaciones	Confirmar con Critical Start
Firma	Servicio de conserjería con un patrocinador ejecutivo, con presupuesto previo	Confirmar con Critical Start

En qué destaca Critical Start

Si necesitas ambas soluciones, obtienes Qualys VMDR y los analistas que lo gestionan en un único contrato, lo que elimina un paso adicional en el proceso de obtención de licencias. ¿Ya dispones de Qualys? El servicio puede ejecutarse a través de tu suscripción. Los equipos pueden optar por análisis totalmente gestionados o seguir programando los suyos propios, y cualquiera que adquiera además el servicio de detección gestionada de Critical Start podrá ver los resultados de las vulnerabilidades en la misma consola que sus alertas.

En qué aspectos se queda corto Critical Start

El escáner está configurado. Dado que el servicio se basa en Qualys VMDR, un equipo que haya adoptado otro escáner como estándar deberá seguir un procedimiento diferente. La documentación pública de Critical Start describe las listas de parches que tu equipo debe utilizar, pero no menciona nada sobre su implementación. Además, los términos del SLA publicados por Critical Start se centran principalmente en los tiempos de respuesta a las alertas, por lo que conviene preguntar cómo se aplican estos a la gestión de vulnerabilidades antes de firmar el contrato.

¿Para quién es más adecuado Critical Start?

Las empresas que ya apuestan por Qualys y desean disponer de su cobertura y puntuación sin tener que gestionar la plataforma por sí mismas son las que mejor encajan. Los clientes actuales del servicio de detección de Critical Start disponen de un único portal para las alertas y las vulnerabilidades. Los equipos de TI de tamaño reducido que se encargan de la aplicación de parches también encajan bien, siempre y cuando les resulte adecuado trabajar directamente a partir de las listas y prefieran que sea otra entidad la que programe y analice los análisis.

Gestión de vulnerabilidades gestionada por Rapid7

El servicio de gestión de vulnerabilidades gestionada (MVM) de Rapid7 se encarga de analizar las direcciones IP que figuran en tu formulario de pedido y de revisar los resultados contigo cada mes. El alcance documentado se centra en la priorización y el asesoramiento, y en el nivel estándar de MVM tu equipo también puede consultar los resultados en la consola de InsightVM.

Lo que obtienes

Análisis y elaboración de informes mensuales

Rapid7 realiza análisis de las direcciones IP incluidas en tu contrato con periodicidad mensual y te envía un informe de servicio mensual. Una vez que tú y tu asesor hayáis acordado un calendario, el equipo de Operaciones Gestionadas de Rapid7 se encarga de la configuración de los análisis, la supervisión, la verificación y la resolución de incidencias. El nivel básico, MVM Basic, cubre hasta 2.500 direcciones IP y funciona con el motor Nexpose de Rapid7.

Un asesor de ciberseguridad asignado

Te reúnes con tu asesor cada mes para revisar informes y métricas, y en las revisiones periódicas del negocio se analizan las tendencias del programa y se ofrecen recomendaciones. El asesor también proporciona mensualmente una lista de prioridades de corrección y orientación, lo que indica a tu equipo por dónde empezar cada ciclo.

Acceso a la consola

En el nivel MVM estándar, tu equipo puede abrir la consola de InsightVM para consultar los resultados y los informes entre reuniones. El plan MVM Basic no incluye el acceso de los clientes a la consola alojada por Rapid7.

Precios

Rapid7 calcula el precio de MVM en función de las direcciones IP que figuren en tu formulario de pedido, por lo que tu presupuesto dependerá del número que contrates. Para conocer los precios actuales, ponte en contacto con Rapid7 a través de su página de MVM.

Plan	Modelo de precios	Precio actual
MVM Básico	Limitado a las direcciones IP contratadas, hasta un máximo de 2.500	Confirmar con Rapid7
MVM	Delimitado por direcciones IP contratadas	Confirmar con Rapid7

En qué destaca Rapid7

Rapid7 detalla el alcance del proyecto por escrito, para que puedas comparar el presupuesto con una lista concreta de entregables. La reunión mensual con los asesores ofrece a tu equipo un espacio fijo para revisar las métricas y acordar las prioridades, y en los niveles con acceso a la consola, tu personal puede analizar los resultados en profundidad sin tener que esperar al siguiente informe.

Las carencias de Rapid7

La aplicación de parches queda fuera del alcance documentado. Los resultados esperados enumerados abarcan la priorización y el asesoramiento, y la implementación de parches no aparece mencionada en ningún sitio. La periodicidad de los análisis documentada es mensual, lo que supone un intervalo demasiado largo para entornos que cambian rápidamente, así que pregunta si el contrato permite análisis más frecuentes. Las excepciones de red también son responsabilidad tuya. Si la prevención de intrusiones o un cortafuegos de aplicaciones web pudieran interferir con los análisis, tendrás que incluir en la lista de permitidos la IP de origen del motor de análisis o ejecutar los análisis desde una ubicación de red en la que esos controles no se encuentren, y Rapid7 considera que la verificación de dichos controles queda fuera del alcance del servicio.

Para quién es más adecuado Rapid7

Los responsables de seguridad que cuenten con un equipo reducido son los más adecuados para este puesto, sobre todo si desean que los análisis se ejecuten y revisen de forma programada y disponen de personal para aplicar las correcciones. Los responsables de TI que ya se encargan de la aplicación de parches pueden integrar la lista de prioridades del asesor directamente en el proceso que hayan establecido. Para los equipos que ya utilizan InsightVM, la consola les resultará familiar en los niveles que incluyan acceso.

Cómo elegir un proveedor de servicios de gestión de vulnerabilidades

La elección del proveedor adecuado depende de qué parte del trabajo no pueda asumir tu equipo. Si nadie tiene tiempo para ejecutar análisis y clasificar los resultados, un proveedor de servicios gestionados como Arctic Wolf, Rapid7 o Critical Start se encarga de ello, y el complemento «Resolve» de Arctic Wolf va un paso más allá, con la aplicación automatizada de parches para el software compatible. Si dispones de escáneres pero los hallazgos siguen acumulándose, una empresa especializada en evaluaciones como Optiv puede ayudarte a reestructurar el programa. Y si tus hallazgos pendientes se refieren a software al final de su ciclo de vida o a servidores Linux que no puedes reiniciar, un socio especializado en correcciones como TuxCare te proporciona las soluciones.

Si quieres hablar sobre la cobertura tras el fin de vida útil o la aplicación de parches en tiempo real para tu entorno, ponte en contacto con el equipo de TuxCare.

Preguntas frecuentes