Cómo el documento CISA BOD 26-04 redefine las métricas de gestión de vulnerabilidades para los líderes de seguridad

La BOD 26-04 de CISA cambia la forma en que las agencias federales aplican parches y cómo los líderes de seguridad deben medir, justificar y comunicar el riesgo cibernético a los ejecutivos y a los consejos de administración.

Puntos clave: La BOD 26‑04 exige a las agencias tomar y defender decisiones de priorización de vulnerabilidades basadas en riesgo, incluidas las decisiones de aplazar la remediación de vulnerabilidades.
Esta exigencia de responsabilidad transforma la gestión de vulnerabilidades de una operación técnica a una disciplina de gobernanza que exige documentación lista para auditoría.
Los KPI tradicionales de gestión de vulnerabilidades (total de vulnerabilidades parcheadas, tiempo medio de parcheo, porcentaje de sistemas escaneados) no miden lo que exige la BOD 26‑04.
Las métricas que importan son el alcance de cobertura y las tasas de remediación por nivel de riesgo.
El análisis de Tenable sobre la telemetría de clientes muestra que monitorear el alcance de cobertura es un predictor más fuerte del estado de riesgo que la velocidad de parcheo, un hallazgo corroborado de forma independiente por investigaciones que demuestran que las organizaciones solo remedian alrededor del 10 % de las vulnerabilidades abiertas por mes, sin importar su tamaño o madurez.

La directiva se extiende más allá de las agencias federales a miles de contratistas federales que deben alinearse con la BOD 26‑04 a través de requisitos de cumplimiento contractuales.
Las organizaciones en la cadena de suministro federal deben tratar la directiva como un requisito operativo, no como orientación administrativa.
El cambio de métricas de parcheo a métricas de exposición al riesgo no es un fenómeno exclusivo de la federación. Los estándares de reporte de la industria, los modelos de suscripción de seguros y las expectativas de responsabilidad a nivel de consejo convergen con la misma exigencia: demostrar que están reduciendo el riesgo real, no solo cerrando tickets.
El mandato de reporte oculto dentro de la Directiva Operativa Vinculante de CISA (BOD) 26‑04 El mayor enfoque en la BOD 26‑04 de CISA se ha centrado en los requisitos operativos: el modelo de cuatro variables, la matriz de remediación de 16 niveles, la línea de tiempo de tres días de parcheo con triage forense obligatorio.
Estos son significativos, y Tenable los ha cubierto en profundidad en nuestra FAQ sobre la BOD 26‑04.
Pero escondidos en los requisitos de la directiva hay una obligación menos discutida que puede resultar igualmente transformadora: las agencias deben demostrar cómo priorizan las vulnerabilidades y justificar sus decisiones, particularmente en casos donde deciden aplazar la remediación.
Se espera que las métricas evolucionen de simples conteos de vulnerabilidades parcheadas a medidas que reflejen la reducción de la exposición a alto riesgo.
Esto no es una actualización procedural menor. Es un cambio fundamental en la forma en que los programas de ciberseguridad se miden, informan y se mantienen responsables.
Para los CISO y líderes de seguridad, la BOD 26‑04 no solo cambia el flujo de trabajo de parcheo.
Mientras la directiva BOD 26‑04 apunta formalmente a las agencias federales, su marco se está convirtiendo rápidamente en el plano para el sector privado a medida que las fuerzas del mercado se alinean alrededor de la responsabilidad basada en riesgo.
En última instancia, cambia lo que los consejos corporativos necesitan escuchar.

Por qué los métricos tradicionales de gestión de vulnerabilidades fallan bajo la BOD 26‑04
Durante años, los líderes de seguridad han medido los programas de gestión de vulnerabilidades por volumen: total de vulnerabilidades identificadas, total de parches aplicados, porcentaje de sistemas escaneados dentro de una ventana de 30 días, tiempo medio de remediación.
Estas métricas son fáciles de recopilar, fáciles de reportar y fáciles de hacer tendencias a lo largo del tiempo, pero también cada vez están más desconectadas del riesgo real.
El análisis propio de Tenable sobre la telemetría de clientes a nivel global confirma lo que muchos líderes de seguridad sospechan pero no pueden demostrar: el alcance de cobertura de monitoreo es un señal de riesgo más robusta y predictiva que la velocidad de parcheo.
Los activos no monitoreados existen como una superficie de ataque permanentemente abierta; no pueden generar hallazgos, ser priorizados o verificarse como remedios.
En contraste, los activos monitoreados aún pasan por la cadena de riesgo incluso si la remediación no funciona a máxima velocidad.
Investigaciones independientes de la industria corroboran fuertemente la necesidad de cambiar el reporte de velocidad de parcheo a cobertura de monitoreo: El techo de remediación – La investigación de priorización a predicción del Instituto Cyentia (analizando 3,6 mil millones de observaciones de vulnerabilidades) encontró que la organización típica solo puede remediar aproximadamente el 10 % de las vulnerabilidades abiertas por mes, independientemente de su tamaño, industria o madurez.
Dado que no se puede superar la tasa de crecimiento de tu atraso, la priorización, no la velocidad, es el único palanca que reduce significativamente el riesgo.
La falla del MTTR – Los cálculos estándar de tiempo medio de remediación (MTTR) excluyen las vulnerabilidades abiertas y no remediadas, lo que sesga tus métricas hacia elementos que son más fáciles de cerrar rápidamente, los cuales pueden no ser los más críticos, graves o de mayor riesgo.
Desbalance de composición de activos – La vida media de remediación varía ampliamente entre tipos de activos, con un promedio de 36 días para sistemas Windows de Microsoft versus 369 días para dispositivos de red. Un MTTR fuerte a menudo simplemente significa que tienes buena visibilidad en los activos Windows parcheados automáticamente, pero este KPI puede ocultar la exposición persistente en dispositivos de borde y sistemas OT.
La BOD 26‑04 lo hace explícito: la prioridad de remediación se determina por el riesgo que una vulnerabilidad presenta si se explota, no por el número total de vulnerabilidades identificadas.
La capa de aplazamiento (solucionar con la actualización del sistema) formaliza lo que los datos siempre han mostrado: la mayoría de las vulnerabilidades pueden esperar.
Las que no pueden se definen por evidencia de explotación, exposición, potencial de automatización y gravedad del impacto.
Un CISO que informe “parcheamos el 95 % de los CVE críticos este trimestre” está reportando una métrica que la BOD 26‑04 ha vuelto insuficiente.
La pregunta relevante es: de las vulnerabilidades que presentaban un riesgo real en sistemas críticos, ¿qué porcentaje remedió dentro del plazo de la directiva y qué parte de nuestra superficie de ataque estaba bajo observación cuando hicimos esa evaluación?

Nuevas métricas de seguridad: lo que exige la BOD 26‑04
El cambio de reporte basado en volumen a basado en riesgo requiere nuevos KPI.
Las organizaciones que implementen la BOD 26‑04 deben considerar métricas que reflejen el modelo de priorización de cuatro variables: cumplimiento de remediación por nivel BOD.
¿Qué porcentaje de vulnerabilidades en cada nivel BOD (triage forense de 3 días, 3 días, 14 días, 60 días, actualización de sistema) se remedia dentro del plazo aplicable?
Esta es la métrica de cumplimiento central.
Reemplaza el “tiempo medio de remediación” con una medida ponderada por riesgo que distingue entre un hallazgo crítico de 3 días y un hallazgo aplazado de bajo riesgo.
Cobertura de vulnerabilidades activamente explotadas.
¿Qué porcentaje de vulnerabilidades listadas en KEV en el entorno se remedia?
Esto mide la respuesta a las amenazas más peligrosas conocidas, no a la población total de vulnerabilidades.
Reducción de la superficie de exposición a lo largo del tiempo.
¿Cuál es la tendencia en activos clasificados como expuestos públicamente (Variable 1 de BOD)?
Reducir el número de activos expuestos a Internet desplaza directamente las vulnerabilidades de plazos comprimidos a la capa de aplazamiento.
El análisis de Tenable del corpus completo de Vulnrichment de CISA mostró que retirar un activo de exposición pública puede desplazar el 76.7 % de sus CVE asociadas a ventanas de remediación más largas.
Esto convierte la reducción de exposición en la inversión de cumplimiento con mayor palanca.
Investigaciones independientes refuerzan por qué la cobertura de evaluación es un mejor indicador de resultados de riesgo que la velocidad de parcheo.
Análisis conjunto de XM Cyber y el Instituto Cyentia, examinando más de 60 millones de exposiciones en 10 millones de entidades, encontró que el 75 % de las exposiciones de seguridad no ponen en riesgo activos críticos: son callejones sin salida en el grafo de ataques.
Solo el 2 % de las exposiciones se sitúan en “puntos de estrangulamiento”, los nodos de convergencia por los que transitan múltiples caminos de ataque hacia activos críticos.
Esto corrobora el hallazgo de telemetría de Tenable desde otra perspectiva: si tu monitoreo no cubre las entidades donde existen esos puntos de estrangulamiento, la velocidad de remediación en el otro 98 % es ruido en la señal de riesgo.
La métrica que importa no es qué tan rápido parcheas, sino si tu visibilidad se extiende a los lugares donde convergen los caminos de ataque.
Tasa de finalización de triage forense.
Para las vulnerabilidades en la capa de mayor riesgo (KEV + control total), ¿qué porcentaje recibió las pautas de triage forense requeridas dentro del marco de tres días?
Esto mide el cumplimiento con el requisito más novedoso y operativo de la directiva.
Tasa de documentación de justificación de aplazamiento.
Para las vulnerabilidades colocadas en la capa “solucionar con la actualización del sistema”, ¿qué porcentaje tiene decisiones de aceptación de riesgo documentadas?
La BOD 26‑04 exige que las agencias justifiquen las decisiones de aplazamiento, lo que significa que cada vulnerabilidad aplazada necesita una razón auditable.
Tiempo medio desde la adición de KEV hasta la remediación.
¿Cuán rápido responde la organización cuando un CVE se añade al catálogo KEV y su línea de tiempo BOD se comprime?
Esto mide la velocidad de respuesta ante cambios dinámicos en la línea de tiempo.
Estas métricas comparten una característica común: miden resultados de reducción de riesgo, no volumen de actividad.
Un programa de seguridad que parchea menos vulnerabilidades totales pero remedia el 100 % del nivel de 3 días en tres días opera mejor bajo la BOD 26‑04 que uno que parchea el doble de CVE totales pero falla los plazos críticos.

Requisito de responsabilidad: justificar decisiones de aplazamiento de remediación de vulnerabilidades
La BOD 26‑04 introduce algo que la gestión de vulnerabilidades federales nunca ha tenido: un requisito formal de justificar decisiones de priorización.
Cuando una agencia aplaza la remediación de una vulnerabilidad al siguiente ciclo de actualización del sistema, esa decisión debe documentarse y defenderse.
Esto crea un requisito de huella de auditoría.
Para cada vulnerabilidad aplazada, la organización necesita demostrar:

• Cuáles de las cuatro variables se evaluaron
• Qué combinación colocó la vulnerabilidad en la capa de aplazamiento
• Por qué la agencia confía en que el aplazamiento no crea un riesgo inaceptable
  Si alguna de las cuatro variables cambia (un CVE se añade al KEV, un activo queda expuesto a Internet), la decisión de aplazamiento debe ser reevaluada.
  Para los CISO, esto significa que el programa de gestión de vulnerabilidades debe generar reportes informativos y basados ​​en evidencia.
  Los paneles y reportes se convierten en documentación de cumplimiento.
  La herramienta que genere estos informes debe poder registrar la evaluación de cuatro variables para cada CVE en cada activo, rastrear cambios con el tiempo y destacar cuando una decisión de aplazamiento ya no es válida porque una variable cambió.
  Aquí es donde la Plataforma de Gestión de Exposición Tenable One ofrece una capacidad directa: el descubrimiento continuo de activos combinado con la priorización basada en riesgo crea la base de datos lista para auditoría que exige la BOD 26‑04.
  Cuando cada activo tiene un estado de exposición actualizado continuamente, cada CVE tiene evaluaciones de variables de Vulnrichment y cada decisión de priorización está registrada, las agencias federales y otras organizaciones pueden demostrar cumplimiento en cualquier momento, no solo en el último escaneo.
  Obtén más información sobre las maneras en que Tenable One apoya la BOD 26‑04.

Más allá de las agencias federales: la dimensión de contratistas y cadena de suministro
La BOD 26‑04 es vinculante para las agencias federales civiles del ejecutivo (FCEB).
Pero el alcance operativo de la directiva se extiende más allá de su mandato legal.
CISA requiere que las agencias “revisen todos los contratos para determinar qué modificaciones son necesarias para cumplir con las acciones requeridas de esta Directiva.”
Esto pone en aviso a miles de contratistas federales.
Las organizaciones que tienen contratos federales, operan sistemas de información federales en nombre de agencias o proporcionan servicios de seguridad gestionados a clientes federales enfrentarán los requisitos de cumplimiento de la BOD 26‑04 que se derivan a través de los vehículos contractuales.
Para estas organizaciones, la directiva no es orientación administrativa. Es una obligación contractual que aparecerá en declaraciones de trabajo, matrices de requisitos de seguridad y cartas de modificación de contrato.
La transformación de reporte también se aplica a estas organizaciones.
Los gerentes de programa federales preguntarán a sus contratistas las mismas preguntas que la directiva pregunta a las agencias: ¿Qué vulnerabilidades priorizaste? ¿Por qué? ¿Puedes demostrar que cumpliste con la línea de tiempo aplicable?
Los contratistas que no puedan producir métricas de riesgo alineadas con la BOD 26‑04 enfrentarán una desventaja competitiva en renovaciones de contratos y nuevas oportunidades.
Las organizaciones en la cadena de suministro federal deben comenzar ahora:

• Evaluar si sus herramientas de gestión de vulnerabilidades pueden producir las métricas de exposición al riesgo exigidas por la BOD 26‑04
• Evaluar su capacidad para rastrear el modelo de cuatro variables en sus entornos gestionados
• Prepararse para producir documentación lista para auditoría de sus decisiones de priorización.

Convergencia: por qué la BOD 26‑04 importa más allá del gobierno
La BOD 26‑04 impulsa una transformación de reporte que refleja una convergencia más amplia en la industria de ciberseguridad: la suscripción de seguros está cambiando de modelos binarios de cuestionarios a evaluaciones de riesgo basadas en evidencia.
Los aseguradores de ciberseguridad cada vez preguntan: “¿Cómo priorizas el parcheo y puedes demostrar que las vulnerabilidades de mayor riesgo se remediaron primero?”
El marco BOD 26‑04 ofrece una respuesta defensible a esta pregunta.
La responsabilidad a nivel de consejo impulsa la demanda de métricas de exposición al riesgo sobre métricas de actividad.
Los directores y oficiales dan cada vez más responsabilidades sobre la gobernanza de ciberseguridad. Un consejo que recibe “parcheamos 50 000 vulnerabilidades este trimestre” no puede evaluar el impacto de esas 50 000 vulnerabilidades en el estado de riesgo de la organización.
En contraste, un consejo que escucha “el 100 % de nuestras vulnerabilidades de nivel de 3 días se remedió dentro del plazo, y nuestra superficie de ataque expuesta públicamente disminuyó en un 15 %” puede tomar decisiones de gobernanza informadas.
La dirección regulatoria en todos los sectores (servicios financieros, salud, infraestructura crítica) se mueve hacia marcos basados en riesgo.
La BOD 26‑04 es la versión del gobierno federal, pero el principio subyacente (priorizar según riesgo real, no severidad teórica) aparece en regulaciones y estándares sectoriales.
Las organizaciones que adopten métricas de exposición al riesgo ahora estarán mejor posicionadas para el próximo marco regulatorio.

Cómo los líderes de seguridad pueden prepararse para el cumplimiento de la BOD 26‑04
El plazo de cumplimiento de 180 días para los plazos de remediación de la BOD 26‑04 es aproximadamente diciembre de 2026.
Pero la transformación de reporte debería comenzar de inmediato, porque el requisito de actualización política de la directiva ya está en vigor.
Cinco acciones posicionarán a los líderes de seguridad para el éxito:

1. Audita tu reporte actual contra el modelo de cuatro variables.
   Revisa tus paneles y reportes para la junta existentes. Si miden volumen de parcheo sin distinguir entre niveles de riesgo, no cumplen con la exigencia de responsabilidad de la BOD 26‑04.
2. Identifica cuáles de los nuevos KPI (cumplimiento de nivel BOD, cobertura KEV, reducción de exposición, tasa de triage forense, justificación de aplazamiento) tu herramienta actual puede producir y cuáles requieren nuevas capacidades.
3. Establece la base de datos para el reporte de exposición al riesgo.
   El modelo de cuatro variables requiere saber, para cada vulnerabilidad en cada activo:

• ¿El activo está expuesto públicamente?
• ¿El CVE está en el KEV?
• ¿El exploit es automatizable?
• ¿Produce control total o parcial?
  Las organizaciones que no puedan responder a estas preguntas continuamente no pueden cumplir con la BOD 26‑04 ni producir las métricas de exposición al riesgo que exige.
  Tenable One proporciona esta base de datos continua de cuatro variables a través de la gestión integrada de la superficie de ataque, la integración KEV y el consumo de datos de Vulnrichment.

4. Construye la huella de auditoría ahora, no al cabo de los 180 días.
   Cada decisión de priorización que tu organización tome a partir de este punto debe documentarse con la evaluación de cuatro variables.
   Cuando los auditores o gerentes de programa pregunten “¿Por qué se aplazó esta vulnerabilidad?” la respuesta debe registrarse, marcarse con fecha y rastrearse a los estados de las variables en el momento de la decisión.
5. Adopta el modelo de comunicación de tablero de dos métricas.
   Los seis KPI operativos descritos sirven al equipo de seguridad. Para la comunicación con el consejo y la alta dirección, las investigaciones de Tenable indican un marco más sencillo de dos métricas:
   – Amplitud de cobertura de monitoreo, la proporción de la superficie de ataque de la organización bajo observación activa, como el principal indicador de riesgo.
   – Tasa de remediación por nivel de riesgo, el porcentaje de vulnerabilidades de alto riesgo remedial dentro de su plazo BOD aplicable, como el indicador de desempeño de seguimiento.
   La tasa de remediación mide si la organización actúa sobre lo que ve.
   Ambas métricas son necesarias; ninguna sola es suficiente.
   Un miembro del consejo que vea estos dos números a lo largo del tiempo puede evaluar si el programa de seguridad está realmente reduciendo la exposición o solo optimizando dentro de un campo de visión cada vez más estrecho.
   Prepara la transición gradualmente.
   Si tu reporte actual al consejo cubre conteos de parcheo y distribuciones CVSS, comienza a superponer métricas de exposición al riesgo junto a las tradicionales en lugar de reemplazarlas de golpe.
   Los miembros del consejo deben comenzar a ver el lenguaje de la BOD 26‑04 (vulnerabilidades activamente explotadas, activos expuestos públicamente, remediación por nivel de riesgo) en su reporte regular para que el cambio sea gradual y contextualizado, no abrupto y desorientador.

De la actividad a la responsabilidad
El cambio de métricas de parcheo a métricas de exposición al riesgo no es un ejercicio de cumplimiento federal. Es la dirección hacia la que se mueve toda la industria de ciberseguridad, impulsada por la realidad de que la gestión de vulnerabilidades basada en volumen ya no refleja el riesgo real.
El análisis de Tenable sobre la telemetría de clientes demuestra que el alcance de cobertura de monitoreo es el predictor más fuerte del estado de riesgo, y la investigación independiente de Cyentia, XM Cyber y CISA converge en la misma conclusión mediante metodologías y conjuntos de datos diferentes.
La BOD 26‑04 ha formalizado este cambio para las agencias federales.
Las organizaciones que adopten primero la directiva BOD 26‑04, sin importar el sector, estarán mejor posicionadas para demostrar que sus programas de seguridad están reduciendo riesgos reales, no solo cerrando tickets.
Únete al Equipo de Operaciones Especiales de Investigación de Tenable (RSO) en Tenable Connect para discusiones adicionales sobre las amenazas cibernéticas más recientes.
Obtén más información sobre Tenable One, la plataforma de gestión de exposición para la superficie de ataque moderna.
Obtén más información sobre CISA BOD 26‑04: Priorizar actualizaciones de seguridad basadas en riesgo
CISA BOD 26‑04: Preguntas frecuentes (Tenable)
Mejora la precisión en CTEM: cómo la validación continua de controles en Tenable One transforma la gestión de exposición