Sepa qué vulnerabilidades importan hoy y corríjalas primero.
Trabajamos con Qualys para darle visibilidad continua de sus activos, priorizar las vulnerabilidades por riesgo real y medir la configuración de sus sistemas. Implementamos la plataforma, la afinamos y acompañamos a su equipo hasta cerrar las brechas.
Personal certificado como Qualys TruRisk Eliminate Specialist y Qualys Policy Audit Certified Specialist
- Vulnerabilidades críticas por CVSS
- 312
- Con exploit conocido
- 96
- En activos críticos expuestos
- 18
TruRisk ordena primero lo que de verdad puede explotarse en su entorno: esas 18 van primero.
Miles de vulnerabilidades en el reporte y ninguna certeza de cuál atender primero.
- Inventario realResuelto
- Prioridad por riesgoResuelto
- Remediación medibleResuelto
- Configuración auditadaResuelto
Un escaneo de vulnerabilidades en una organización mediana puede devolver miles de hallazgos. Si todos llegan al equipo de TI con la misma urgencia, ninguno la tiene: los administradores parchan lo que pueden en su tiempo libre, el reporte crece cada mes y la gerencia no sabe si el riesgo baja o sube.
El problema casi nunca es la falta de información, sino la falta de prioridad y de seguimiento. Una vulnerabilidad crítica en un servidor de pruebas aislado no pesa lo mismo que una vulnerabilidad media, ya explotada por atacantes, en el servidor que procesa los pagos. Y a eso se suman los activos que nadie tiene inventariados y que, por lo mismo, nadie escanea.
La gestión de vulnerabilidades basada en riesgo cambia la pregunta de “¿cuántas tenemos?” a “¿cuáles debemos corregir esta semana?”. Qualys aporta el inventario, la detección y la puntuación TruRisk; nosotros aportamos el criterio para afinarla, la disciplina para operarla cada mes y el acompañamiento para que las brechas realmente se cierren.
Lo que cambia cuando Qualys está bien operado
Usted sabe qué servidores, equipos y software tiene, incluidos los que nadie registró y los que ya no reciben soporte del fabricante.
La puntuación TruRisk ordena el trabajo según la explotación conocida y la criticidad de cada activo, no por la cantidad de hallazgos.
Cada ciclo muestra qué se corrigió, qué sigue abierto y cuánto tiempo lleva expuesto, para que el avance se pueda demostrar.
Policy Audit compara la configuración de sus sistemas con los CIS Benchmarks (las guías de configuración segura del Center for Internet Security) o con su política interna y deja la evidencia lista.
Qualys completo, no un solo módulo
Qualys es una plataforma en la nube con varias aplicaciones que comparten el mismo agente y el mismo inventario. Trabajamos con las que su organización necesita y las integramos entre sí para que la información no quede en silos.
Aplicaciones que implementamos y operamos
- CyberSecurity Asset Management (CSAM) y Global AssetView, para el inventario de activos y la detección de software sin soporte
- Vulnerability Management, Detection & Response (VMDR), con priorización por riesgo mediante TruRisk
- Patch Management, para desplegar parches del sistema operativo y de aplicaciones de terceros desde la misma consola
- Policy Audit (antes Policy Compliance), para evaluar la configuración contra los CIS Benchmarks, las guías del NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) o sus políticas internas
- Web Application Scanning (WAS), cuando su organización expone aplicaciones web propias
- Qualys Cloud Agent y scanners virtuales, en sus instalaciones, en la nube o en entornos híbridos
Tres formas de trabajar con nosotros
Puede empezar por la implementación y sumar la operación después, o contratar solo el acompañamiento si su equipo ya opera Qualys.
- ProyectoImplementación y afinamiento
Desplegamos agentes y scanners, configuramos el inventario, las etiquetas por criticidad y los perfiles de escaneo, y depuramos los falsos positivos y los activos duplicados. Si ya tiene Qualys, revisamos y afinamos lo que existe.
- Servicio continuoOperación gestionada
Ejecutamos los ciclos de escaneo, revisamos los hallazgos y le entregamos cada mes un reporte para la gerencia, con la tendencia del riesgo y los pendientes por área, en un lenguaje que se entiende fuera de TI.
- AcompañamientoApoyo en la remediación
Trabajamos con sus administradores para planificar parches y mitigaciones dentro de sus ventanas de cambio, y verificamos con un nuevo escaneo que cada brecha quedó cerrada.
Lo que usted recibe
El estado de una muestra de sus activos, con las vulnerabilidades priorizadas por TruRisk y una recomendación concreta por grupo.
Agentes, scanners, etiquetas, perfiles de escaneo y paneles en funcionamiento, con su equipo capacitado para usarlos.
La evolución del riesgo, lo corregido en el periodo y lo que sigue pendiente, con responsables y prioridades.
Resultados de Policy Audit por sistema y por política, útiles para su auditor interno o externo.
Cómo lo trabajamos
Un ciclo que se repite. Cada vuelta deja menos exposición que la anterior.
- Paso 1Descubrir
Desplegamos el Cloud Agent y los scanners para identificar todos los activos y su software.
- Paso 2Clasificar
Etiquetamos los activos por criticidad de negocio con su equipo, porque de eso depende la prioridad.
- Paso 3Evaluar
Detectamos vulnerabilidades con VMDR y medimos la configuración con Policy Audit.
- Paso 4Priorizar
Ordenamos los hallazgos por TruRisk y acordamos qué se atiende en el siguiente ciclo.
- Paso 5Remediar
Aplicamos o coordinamos parches y mitigaciones dentro de sus ventanas de mantenimiento.
- Paso 6Verificar y reportar
Confirmamos el cierre con un nuevo escaneo y lo reflejamos en el reporte para la gerencia.
Qualys funciona por sí solo. CalCom se suma solo si usted lo decide.
Qualys es una solución completa por sí misma. Le dice qué activos tiene, qué vulnerabilidades y desviaciones de configuración hay en cada uno, en qué orden atenderlas y cómo avanza la remediación. No necesita ninguna otra plataforma para obtener ese resultado.
Si además quiere aplicar las correcciones de configuración de forma automatizada en muchos servidores, CalCom Hardening Suite es otra solución, independiente, que se contrata por separado. Cada una se dimensiona según lo que usted necesita hoy, sin paquetes obligatorios.
Qualys TruRisk Eliminate Specialist
Qualys Policy Audit Certified Specialist
Microsoft Certified: Cybersecurity Architect Expert
Preguntas frecuentes
¿Qué diferencia hay entre VMDR y un escaneo de vulnerabilidades tradicional?
Un escaneo tradicional entrega una lista de hallazgos. VMDR mantiene el inventario actualizado, detecta de forma continua y prioriza por riesgo, de modo que su equipo sabe qué corregir primero y puede medir el avance.
¿Necesito instalar un agente en cada servidor?
No siempre. El Cloud Agent da visibilidad continua y es la opción recomendada para servidores y estaciones; los scanners de red cubren equipos donde no se puede instalar un agente. Definimos la combinación según su entorno.
¿Qué es Policy Audit?
Es la aplicación de Qualys que antes se llamaba Policy Compliance. Evalúa la configuración de sus sistemas contra los CIS Benchmarks, otros marcos o sus políticas internas, y genera reportes de cumplimiento.
¿Ustedes aplican los parches o lo hace mi equipo?
Ambas opciones son posibles. Podemos operar Patch Management por usted o acompañar a sus administradores; en los dos casos las ventanas de cambio y las aprobaciones las define su organización.
¿Las licencias de Qualys están incluidas?
Se cotizan aparte, según el número de activos y las aplicaciones que necesite. Le ayudamos a dimensionarlas para no pagar por módulos que no va a usar.
¿Esto me ayuda con una auditoría de la SBS (Superintendencia de Banca, Seguros y AFP), PCI-DSS o ISO/IEC 27001?
Sí, como parte del trabajo técnico. Le ayudamos a cumplir los controles técnicos de gestión de vulnerabilidades y de configuración segura, y a preparar las evidencias que su auditor solicita.
Conozca sus vulnerabilidades críticas antes que un atacante.
Analizamos una muestra de sus activos y le entregamos un diagnóstico priorizado por riesgo, con los primeros pasos de remediación.