Gestión de vulnerabilidades open source: lo que puedes montar tú antes de una auditoría SOC 2 o ISO 27001

¿Qué es la gestión de vulnerabilidades open source?

La gestión de vulnerabilidades es el ciclo que empieza después de la detección: reunir los hallazgos de todos los escáneres, quitar los duplicados, priorizarlos, dar a cada uno un responsable y un plazo, corregirlo o aceptarlo, y guardar la prueba. La versión open source monta ese ciclo con herramientas gratuitas que alojas tú, sin pasar por una plataforma comercial.

Los escáneres son la parte fácil, y ya los hemos probado: herramientas SCA open source sobre un mismo repositorio y escáneres de secretos open source cara a cara. Lo que no te dan es memoria. El 3 de noviembre de 2026 lanzamos Trivy, Gitleaks y Opengrep sobre OWASP Juice Shop para nuestra guía de escaneo para SOC 2: 383 hallazgos repartidos en cuatro ficheros JSON, y ninguno llevaba un commit, un responsable, un plazo o un estado. Ese hueco es el que llena la capa de gestión.

¿Qué piden SOC 2 e ISO 27001?

Ninguno de los dos marcos nombra una herramienta. El criterio CC7.1 de SOC 2 te pide detectar las vulnerabilidades nuevas y tu exposición a las que se acaban de descubrir. El control A.8.8 de ISO 27001:2022 te pide obtener información sobre las vulnerabilidades técnicas, evaluar tu exposición y actuar. Los dos dejan los plazos en manos de tu política, y después comprueban que los cumpliste.

La redacción de SOC 2, tal como la reproducen las firmas de auditoría, pide procedimientos de detección y monitorización para identificar, por un lado, los cambios de configuración que introducen vulnerabilidades nuevas y, por otro, la exposición a las vulnerabilidades recién descubiertas. El anexo A 8.8 de ISO 27001, Gestión de las vulnerabilidades técnicas, empieza diciendo que se debe obtener información sobre las vulnerabilidades técnicas de los sistemas de información en uso, y después pide evaluar la exposición y tomar las medidas adecuadas. HighTable, una consultora de ISO 27001, señala que la norma no impone un número concreto de horas: los plazos de corrección salen de un acuerdo de nivel de servicio que defines tú por severidad.

Así que el auditor lee primero tu política, luego toma una muestra de hallazgos y contrasta cada uno con ella. Nuestra guía sobre lo que preguntan los auditores de ISO 27001 y SOC 2 cuando el código lo escriben agentes de IA cubre los controles de desarrollo seguro que lo rodean, de A.8.25 a A.8.29.

¿Qué herramienta open source cubre cada parte?

Cada herramienta de la tabla cubre una parte del ciclo, y el registro del centro es la pieza más fácil de saltarse.

Dependency-Track responde a «¿cuáles de nuestras aplicaciones llevan un componente que acaba de volverse vulnerable?», y un registro responde a «¿en qué estado está cada hallazgo, de cada herramienta, y sigue dentro de su plazo?». DefectDojo es un registro que alimentas con la exportación de cada escáner, mientras que CybeDefend Open Source lanza los escáneres él mismo y llena su cola en cada ejecución, sin exportar ni importar nada entre medias.

DefectDojo no escanea: importa lo que exportan otras herramientas, quita duplicados y sigue el estado de cada hallazgo. Tiene una Community Edition gratuita que alojas tú, con licencia BSD-3-Clause, y una edición Pro de pago, y su repositorio incluye parsers para Trivy, Grype, OSV-Scanner, Gitleaks, Semgrep, SARIF y Dependency-Track, entre otros.

OWASP Dependency-Track se define como una plataforma inteligente de análisis de componentes. Vigila el uso de los componentes en todas las versiones de cada aplicación de su cartera, consume y genera SBOM y VEX en CycloneDX, y toma los datos de vulnerabilidades de la NVD, de GitHub Advisories, de OSV y de otras fuentes. La versión 5.2.1 salió el 25 de octubre de 2026.

OpenCVE cubre un hueco que dejan las demás. Te permite vigilar a tus fabricantes y productos y recibir las alertas de CVE que te afectan, enviadas por email, Slack o webhooks según las reglas que tú definas, con el contexto CVSS, EPSS y KEV combinado en señales de riesgo claras. No es un escáner SCA y no lee tus lockfiles. Su sitio es la vigilancia entre dos escaneos, y el software que queda fuera de tus repositorios: el motor de base de datos, la VPN, el runner de CI. OpenCVE funciona como servicio en la nube con un plan gratuito, o en tus propios servidores según los términos de su licencia, que exigen una licencia comercial para el uso comercial on-premise.

¿Qué revisa el auditor en su muestra?

El auditor elige hallazgos del periodo y sigue cada uno: cuándo apareció, en qué commit o activo, quién era su responsable, qué plazo fijaba tu política para su severidad y cómo se cerró. Una corrección necesita el cambio que la hizo. Un riesgo aceptado necesita un motivo, un aprobador y una fecha de caducidad.

Durante un periodo SOC 2 Type II, o entre dos auditorías de seguimiento de ISO 27001, ese rastro tiene que existir durante meses, no solo la semana antes de la auditoría. Tres registros sostienen ese rastro:

• La política: severidades, plazos por severidad, quién puede aceptar un riesgo y por cuánto tiempo.
• El registro: cada hallazgo con sus fechas, su responsable, su estado y el enlace al escaneo que lo produjo.
• Las excepciones: cada riesgo aceptado con su alcance, su justificación, su aprobador y su caducidad.

¿Cuánto cuesta de verdad montarlo tú?

Las herramientas son gratuitas. El trabajo no: alojar y actualizar el registro, mantener los parsers al día con la salida de los escáneres, traducir las severidades a tus plazos y hacer triaje cada semana para que el registro siga diciendo la verdad. Cada escáner y el registro publican sus propias versiones, y alguien de tu equipo tiene que ir aplicándolas.

Ese intercambio suele compensar a un equipo con un platform engineer y pocos repositorios. Se complica cuando crecen el número de repositorios y el ritmo de los cambios, porque el registro solo vale lo que valga el último triaje.

¿Qué cambia cuando el código lo escriben agentes de IA?

Los agentes de programación como Claude Code, Cursor, GitHub Copilot y OpenAI Codex aumentan el número de cambios por semana, así que los hallazgos llegan más rápido y el registro tiene que seguir el ritmo. Dos registros ganan peso: el escaneo de cada cambio antes del merge, y la persona que aprobó el cambio que escribió un agente.

El agente que escribe el código también puede lanzar la auditoría. Con CybeDefend Open Source, /cybedefend lanza los escáneres AppSec desde el agente de código en cada cambio, después manda a ese mismo agente a buscar los fallos que ellos no ven y le hace probar cada uno con un exploit escrito como test. Cada hallazgo entra en la cola con el escaneo que lo produjo, y el registro sigue el ritmo de los agentes. El agente también puede proponer la corrección, y aun así el registro tiene que mostrar quién la revisó y la fusionó, porque lo que el auditor revisa en su muestra es la aprobación, no el parche. Nuestra guía SOC 2 sobre escaneo y pruebas de penetración muestra cómo un hallazgo pasa del escaneo de un cambio al informe del periodo.

¿Dónde encaja CybeDefend?

CybeDefend Open Source llega pronto, y está hecho para el ciclo que describe esta guía. Un comando en tu agente de código, /cybedefend, hace una auditoría completa en dos capas. Primero los escáneres AppSec, open source, con un docker compose up, entre ellos Opengrep, Trivy, Gitleaks y zizmor, para el código, las dependencias, los secretos, la infraestructura como código, el CI/CD y los contenedores. Te quedas con los que quieras y añades los tuyos. Después, el escáner de IA, que ejecuta tu agente de código. Los escáneres buscan patrones. El escáner de IA lee lo que tu código debería hacer y encuentra dónde se rompe, en la lógica de negocio, en los permisos de acceso y en los fallos que solo aparecen cuando el código se ejecuta, y prueba cada fallo con un exploit escrito como test.

Debajo de las dos capas está toda nuestra plataforma, un ASPM agéntico, la misma que ya alojamos como CybeDefend Cloud. Es la que lleva el registro: los hallazgos de todos los escáneres en una sola cola sin duplicados, y una política de seguridad escrita como código que bloquea el merge ante un hallazgo crítico, con cada excepción acotada, fechada, justificada y aprobada por una persona con nombre. Los informes de seguridad relacionan los hallazgos con el OWASP Top 10 y el CWE Top 25, y se exportan en PDF para el auditor o en JSON para una herramienta GRC. Nosotros pasamos por el mismo ejercicio: nuestra auditoría SOC 2 Type II está en curso. Si estás preparando la tuya, podemos revisarla contigo. Para lanzar la auditoría sobre tu propio código en cuanto abra, apúntate a la lista de espera de CybeDefend Open Source.

Preguntas frecuentes

¿DefectDojo es gratis?

La Community Edition de DefectDojo es open source, con licencia BSD-3-Clause, y puedes alojarla gratis. DefectDojo también vende una edición Pro, en la nube o on-premise. La Community Edition importa hallazgos, quita duplicados y sigue estados; antes de organizarte en torno a ella, revisa la página de ediciones para confirmar las funciones que necesitas.

¿Cuál es la mejor herramienta open source de gestión de vulnerabilidades?

Depende del trabajo. Dependency-Track vigila componentes a través de los SBOM. DefectDojo lleva un registro de hallazgos importados de muchos escáneres. OpenVAS escanea hosts y redes. CybeDefend Open Source encadena los escáneres AppSec y un escáner de IA que ejecuta tu agente de código, y lleva una sola cola bajo tus políticas. Para una auditoría, un montaje habitual combina un conjunto de escáneres con un único registro.

¿ISO 27001 obliga a hacer escaneos de vulnerabilidades?

El control A.8.8 no menciona el escaneo. Te pide obtener información sobre las vulnerabilidades técnicas, evaluar tu exposición y tomar las medidas adecuadas. El escaneo periódico es la forma habitual de demostrar las dos primeras cosas, y tu política fija la frecuencia.

¿Qué plazos de corrección de vulnerabilidades se usan en ISO 27001?

La norma no fija ninguno. Los defines tú en tu política por severidad, y el auditor comprueba que los cumpliste. HighTable propone un calendario que, según dice, los auditores aceptan de forma general: 48 horas para las críticas, 7 días para las altas, 30 días para las medias y 90 días para las bajas.

¿OpenCVE sirve para escanear vulnerabilidades?

No. OpenCVE vigila la publicación de CVE de los fabricantes y productos que sigues y te avisa por email, Slack o webhook, con el contexto CVSS, EPSS y KEV. No lee tu código ni tus lockfiles, así que funciona junto a un escáner SCA y no lo sustituye.

¿Hay una versión open source de CybeDefend?

Su edición open source, CybeDefend Open Source, llega pronto: toda nuestra plataforma, un ASPM agéntico, gratis en tus propios servidores. El comando /cybedefend encadena los escáneres AppSec open source y un escáner de IA que ejecuta tu agente de código, y deja cada hallazgo en una sola cola bajo tus políticas. Mientras tanto, CybeDefend Cloud es la misma plataforma, alojada por nosotros. Apúntate a la lista de espera de CybeDefend Open Source.