Hallazgos, priorización y triage

Dónde están los hallazgos: las pestañas Repo, SCM, Cloud, Registry y App Pentest

Todos los resultados de los escáneres de Plexicus se convierten a un formato común de hallazgo y después se enriquecen con mapeos y puntuaciones, además de un veredicto de la IA cuando la Detección de falsos positivos con IA está activada. Todo acaba en una sola página: Hallazgos . Esa página se divide en cinco pestañas, una por cada tipo de activo que puedes probar.

Pestaña	Qué encuentras ahí	De dónde viene el activo
Repo	Hallazgos de código de los escaneos de repositorios: debilidades en el código, dependencias vulnerables, secretos incrustados en el código y configuración de infraestructura como código o de contenedores declarada en el repositorio	Activos, Repo Scan
SCM	Hallazgos de postura sobre la configuración de tu control de versiones, no sobre el código que contiene	Tu proveedor de control de versiones conectado
Cloud	Hallazgos sobre la configuración de las cuentas cloud, la identidad y el acceso, y los recursos expuestos, contrastados con benchmarks	Activos, Cloud Assessment
Registry	Hallazgos de las imágenes de contenedor descubiertas en tus registros conectados, que puedes filtrar por imagen, etiqueta y conexión al registro	Activos, Registry Audit
App Pentest	Hallazgos generados por las ejecuciones de AI Pentest, con la evidencia y la ruta de ataque que los demostraron	La sección App Pentest

Una inyección SQL en un handler de login aparece en Repo, igual que una imagen base vulnerable declarada en el Dockerfile de un repositorio. Una librería del sistema vulnerable dentro de una imagen almacenada en tu registro de contenedores conectado aparece en Registry. Un IDOR en una API de facturas que AI Pentest reprodujo contra tu objetivo autorizado aparece en App Pentest. En la interfaz del producto, AI Swarm Pentest aparece como “AI Pentest” dentro de la sección App Pentest.

Lo que comparten todas las pestañas

Las pestañas comparten una tabla, un sistema de filtros y una vista de detalle, así que lo que aprendas sobre triage en este módulo te sirve en todas. Los campos que solo tienen sentido para un tipo de activo, como Región en los hallazgos cloud, se ocultan en las pestañas donde no aplican.

En los escaneos nativos, el campo Herramienta muestra el motor de Plexicus que generó el hallazgo, como plexicus-sast o plexicus-iac; los resultados importados muestran el formato desde el que se importaron, como sarif. El módulo 3 explica qué motores existen y qué cubre cada uno.

Extras de la pestaña Repo

La pestaña Repo tiene dos controles adicionales en su barra de herramientas:

Importar escaneo importa los resultados de un escáner externo en el repositorio que elijas. Acepta SARIF 2.1.0 y varios formatos de escáneres comerciales, y los hallazgos importados aparecen en la pestaña Repo junto a los nativos.
Agregar Repository inicia el mismo flujo que usas en Activos, para que puedas añadir un repositorio sin salir de Hallazgos.

Columnas a mostrar te permite añadir y reordenar columnas de la tabla como Prioridad, Alcanzabilidad, EPSS, CWE, Responsable del issue o Confianza. La disposición se guarda por usuario.

Anatomía de un hallazgo

Haz clic en cualquier fila para abrir el hallazgo en un panel de detalle sobre la lista. Pulsa K o J para pasar al hallazgo anterior o al siguiente sin cerrarlo.

La franja de la cabecera muestra Severidad, CVSS 3.1, Prioridad, EPSS, Alcanzabilidad, Ruta internet y Ocurrencias. Debajo vienen las secciones Código y taint trace (Evidencia y ruta de ataque en los hallazgos de pentest), Veredicto IA, Riesgo y exposición, Exposición, Compliance y OWASP, Actividad (cuando tu rol puede ver el registro de auditoría) y Metadatos y notas. Riesgo y exposición incluye también un escenario de ataque generado por IA; contrástalo con la traza antes de actuar en consecuencia.

Referencia: las señales de un hallazgo

Campo	Qué te dice	Cómo leerlo
Severidad (escáner)	La severidad tal como la informó la herramienta	Crítico, Alto, Medio, Bajo o Informacional
Severidad	La severidad tras la validación con IA	Puede subir como máximo un nivel por encima de la etiqueta del escáner. Un veredicto de falso positivo de la IA la baja a Informacional sin tocar la severidad del escáner. Compara ambas en “Severidad — escáner vs IA”.
Prioridad	Lo urgente que es el hallazgo en tu contexto, de 0 a 100	Combina severidad e impacto con explotabilidad (EPSS o una estimación de la IA). Se reduce mucho cuando no es alcanzable, ligeramente cuando la alcanzabilidad es desconocida, y se atenúa si la confianza es baja. Las puntuaciones de 90 o más se muestran en rojo. La puntuación sale de una fórmula fija, no de un juicio de la IA; las debilidades de alto impacto, como la inyección SQL, la inyección de comandos del sistema operativo, el path traversal, el SSRF y las credenciales incrustadas en el código, reciben una bonificación.
Confianza de la IA	Hasta qué punto las señales coinciden en que el hallazgo es real, de 0 a 100	Baja por debajo de 40, Media de 40 a 74, Alta a partir de 75. La insignia “Estimada” significa que se derivó de la severidad, no que se midiera.
Alcanzabilidad	Si el código vulnerable se alcanza realmente	Alcanzable, No alcanzable, Alcanzabilidad desconocida o N/A
Ruta internet	Si una ruta pública llega a la carga de trabajo afectada	expuesto o ninguna (Ninguna en Riesgo y exposición). Cambia la prioridad, nunca la severidad.
Sección Exposición	Las comprobaciones de despliegue que el análisis de exposición ejecutó para la carga de trabajo	Una etiqueta indica Expuesto, No expuesto o Aún sin analizar; el módulo 5 explica cómo leerla junto con Ruta internet
EPSS	La probabilidad de que la vulnerabilidad se explote en entornos reales	Solo se rellena en los hallazgos que tienen un CVE; si no, muestra “Sin datos”
CVSS	La puntuación de severidad estándar y su vector	CVSS 3.1 en la franja; v3 y v4 como columnas y filtros. Puede aparecer como estimado (IA) o estimado (severidad).
CWE / OWASP	La clase de debilidad y su categoría del OWASP Top 10	Se mapea automáticamente a partir del CWE con una breve justificación, y también al OWASP CI/CD Top 10 y a los controles de cumplimiento que tengas habilitados
Responsable del issue	El desarrollador al que se atribuye el código	Se rellena a partir del blame de tu SCM sobre el archivo afectado; en los filtros se llama “Asignado a”
Clase	Problema explotable u observación de postura	Vulnerabilidad o Hardening
Ocurrencias	Cuántas instancias existen	Cuenta las instancias del mismo problema en el repositorio

La alcanzabilidad en la práctica

En un hallazgo de dependencia, Alcanzable significa que el símbolo vulnerable se invoca desde el código de tu aplicación. En un hallazgo de código, significa que se confirmó un flujo de datos desde la fuente hasta el sumidero. Alcanzabilidad desconocida puede llevar un sufijo: “transitiva” cuando no se puede confirmar para una dependencia transitiva, o “error de evaluación” cuando la comprobación falló y se volverá a intentar.

Cómo leer la traza de contaminación

El Flujo de Datos y Traza de Contaminación muestra pasos numerados con las etiquetas Fuente, Propagación y Sumidero, y marca Entre archivos cuando un paso pasa de un archivo a otro. En una inyección SQL en un handler de login, la fuente podría ser el parámetro username; un paso de propagación, el helper que lo concatena en una cadena de consulta; y el sumidero, la llamada que ejecuta la consulta en bruto. Cada paso lleva una insignia de procedencia: Flujo de datos del escáner, Verificado por IA o Inferido por IA (sin verificar). El panel solo muestra una ruta cuando su fuente y su sumidero están verificados contra el repositorio. Una traza vacía significa que aún no existe una ruta verificada, o que ni la Detección de falsos positivos con IA ni una regla de escáner en modo taint han generado una para este hallazgo. El módulo 5 explica cómo se construyen estas trazas.

Estados y ciclo de vida del hallazgo

El estado de un hallazgo indica en qué punto del flujo de remediación se encuentra. Mientras el enriquecimiento con IA sigue en curso, un hallazgo nuevo se oculta de la lista por defecto. Esa fase no tiene etiqueta propia; un hallazgo que abres directamente ya muestra Analizado por IA. Las etiquetas que verás son:

Estado	Qué significa	Cómo llega un hallazgo a él
Analizado por IA	El enriquecimiento ha terminado: las puntuaciones y los mapeos están listos, junto con el veredicto de la IA si la Detección de falsos positivos con IA está habilitada	Listo para que hagas el triage
Requiere información	La plantilla de remediación necesita datos tuyos	El botón de remediación ofrece Introduce detalles
Lista para corregir	Se ha generado una remediación, o el hallazgo se ha enviado a los desarrolladores	Tras generar una remediación, o tras Enviar a equipo de desarrollo
Fix enviado	Se abrió un pull request (un merge request en GitLab) con la corrección	Tras enviar una remediación a tu SCM
Emitido	Se creó un issue para el hallazgo	Se usa cuando el tipo de remediación es Issue
Corregido	La corrección se ha incorporado	El webhook de tu SCM informa de que se fusionó su pull request de remediación o se cerró su issue vinculado

Que un hallazgo llegue a Corregido depende de tu equipo: tus revisores deciden si se fusiona y cuándo.

Indicadores que acompañan al estado

Falso positivo. Un hallazgo puede considerarse no real de dos formas. La Detección de falsos positivos con IA es un ajuste opcional de la organización en Configuración Platform , desactivado por defecto y disponible según tu plan; ejecuta una pasada de IA después de cada escaneo. También puedes decidirlo tú con Marcar como falso positivo en el panel de detalle del hallazgo. Una marca humana cierra los pull requests de corrección abiertos del hallazgo, elimina sus remediaciones generadas, actualiza los recuentos del repositorio y registra el veredicto como humano. Además abre un pull request que añade un comentario de supresión en línea para esa regla, sin consumir tu cupo de uso de IA (módulo 7). El veredicto se recuerda solo dentro de tu organización: los escaneos posteriores suprimen automáticamente la misma regla cuando salta sobre código estructuralmente idéntico. Con los roles integrados, pueden marcar falsos positivos Administrador y Operador de Ciberseguridad; los usuarios con el rol Desarrollador, no.

Revertir falso positivo lo deshace: el hallazgo vuelve a Analizado por IA y su Severidad se restablece a la severidad del escáner. Los falsos positivos están ocultos en la lista por defecto, así que guarda un enlace a cualquier hallazgo que puedas necesitar revisar más adelante.

Los veredictos automáticos pasan comprobaciones adicionales antes de ocultar un hallazgo, pero no tomes esas comprobaciones como una garantía. Si tu organización activa la Detección de falsos positivos con IA, acuerda cómo se revisan manualmente los veredictos de la IA sobre hallazgos críticos, altos, alcanzables o expuestos. Un hallazgo pendiente de revisión de falso positivo aún no puede remediarse, y el botón de remediación te lo indica.

Mitigado. Marcar como mitigado activa el indicador Mitigado externamente del hallazgo. Úsalo cuando el riesgo se gestiona fuera del código, por ejemplo con una regla de WAF. No cambia el estado del flujo de trabajo y el hallazgo sigue en tu lista. Una vez que lo usas, el botón desaparece y el indicador no se puede deshacer en la consola, así que asegúrate antes de hacer clic. Plexicus no tiene estados aparte para aceptar el riesgo ni para posponer un hallazgo; registra el control compensatorio en tu ticket.

Duplicado y subhallazgo. Los establece Plexicus, no tú. Los duplicados se explican más abajo, en Nueva detección, y los subhallazgos, en la siguiente lección.

Solicitar revisión

Cuando el estado de un hallazgo es Lista para corregir, un usuario con el rol Desarrollador ve Solicitar revisión en el panel de detalle. Esta acción envía una notificación de tipo Solicitud de revisión, y los revisores las encuentran en Notificaciones Solicitudes de revisión , que se abre desde la campana de la cabecera.

Nueva detección

Un hallazgo nuevo en el mismo repositorio, archivo y línea, con el mismo CVE o tipo de hallazgo, se marca como Duplicado del anterior, y el hallazgo que se conserva mantiene la severidad más grave de los dos. Según la configuración de tu organización, un escaneo posterior que detecte un hallazgo que estaba Corregido o Emitido puede reabrirlo: el hallazgo vuelve a pasar por el análisis y queda registrado como reabierto.

Re-escanear en Activos Repo Scan borra los hallazgos de un repositorio y sus estados (módulo 2); usa Reintentar escaneo en el Centro de Actividad para conservarlos. Las marcas de falso positivo que hacen las personas se recuerdan y se vuelven a aplicar cuando se escanea el mismo código sin cambios.

Cuando tu rol puede ver el registro de auditoría, la sección Actividad del hallazgo muestra su historial, del más reciente al más antiguo: cambios de estado, remediaciones generadas, creadas o actualizadas, solicitudes de remediación masiva y exportaciones, cada una atribuida a Pipeline o a Usuario.

Encontrar lo que importa: chips, barra de consulta, filtros, vistas y el filtro de IA

Nadie lee todos los hallazgos. La barra de herramientas te da cinco formas de poner primero los que importan.

La barra de consulta y los chips de triage

La barra de consulta busca en los títulos de los hallazgos, los CVE, los paquetes y los archivos. A su lado, los chips de Triage aplican filtros con un clic, cada uno con un recuento en vivo: Critical, High, Medium, Alcanzable, EPSS ≥ 0.5, Vulnerabilidad y Nuevos 7d. Combinar Critical, High y Alcanzable es una forma rápida de ver el trabajo real y urgente. Nuevos 7d muestra lo que ha llegado en los últimos siete días. Los chips Alcanzable, EPSS, Vulnerabilidad y Nuevos 7d añaden su condición al filtro que ya esté activo, así que acotan la vista actual en lugar de sustituirla.

Los chips de severidad filtran por Severidad (escáner); para filtrar por el valor validado por IA, usa Severidad en Todos los filtros.

Filtros agrupados

Todos los filtros abre el modal Filtros, donde los campos se agrupan según la pregunta que responden:

Qué mirar primero: Severidad, Severidad (escáner), Prioridad, Confianza del hallazgo, Clase y Estado del hallazgo
Riesgo real: Alcanzable, EPSS, CVSS v3, CVSS v4 y Repeticiones
Tipo de fallo: CWE, CVE, OWASP Top 10, Tipo y Categoría
Cumplimiento: Regulación, Control y Categoría de control, limitados a las regulaciones que tu organización haya habilitado
Dónde está: Repositorio, Fichero, Lenguaje y otros campos de ubicación similares
Dependencias: Librería y Versión de librería
Escáner: Herramienta, Regla y Proveedor
Equipo y flujo: Asignado a, Tags, Tipo de remediación y Esfuerzo de arreglo
Registro de contenedores: campos de imagen, visibles en la pestaña Registry

Cada valor se puede incluir o excluir. Haz clic en el nombre de campo de una píldora de la barra de consulta para cambiar su operador entre “es” y “no es”, o entre “en” y “no en”. El botón de aplicar dice “Ver N findings” y su recuento se actualiza mientras ajustas, así que nunca aplicas un filtro a ciegas.

Vistas guardadas y enlaces compartidos

Cuando tengas un filtro afinado, guárdalo: Hallazgos Vistas Guardar vista , ponle un nombre como “Triage diario” y haz clic en Guardar. Después, aplicar una vista guardada te lleva un solo clic. La URL siempre lleva el filtro actual, así que Copiar enlace comparte la vista exacta con un compañero.

El filtro de IA en lenguaje natural

Según tu plan, el icono de la varita de la barra de consulta abre “Describe qué quieres ver”. Escribe una petición como “hallazgos críticos de inyección en el repo de pagos de la última semana” y haz clic en Crear filtro. Plexicus convierte la frase en un filtro estructurado. Cada petición consume una conversión de filtro con IA. Las conversiones tienen su propio cupo mensual, independiente del cupo de uso de IA que consumen las correcciones y el análisis de falsos positivos. Revisa el filtro generado antes de actuar sobre los resultados, y guárdalo como vista para reutilizarlo.

Qué se oculta por defecto y por qué

La lista por defecto oculta cinco tipos de hallazgos:

Falsos positivos, porque se han considerado no reales
Duplicados, porque el hallazgo que se conserva ya los representa
Subhallazgos: los hallazgos de dependencias de la misma librería, versión y CVE en la misma ubicación se agrupan bajo un hallazgo principal, y al corregir el principal también se corrigen ellos. El detalle de un subhallazgo muestra Ir al hallazgo padre.
Hallazgos eliminados
Hallazgos que aún se están enriqueciendo, porque su prioridad y el veredicto de la IA todavía no están listos

Los hallazgos no alcanzables nunca se ocultan por defecto. La alcanzabilidad reduce su prioridad, pero un veredicto estático es evidencia, no una prueba de que sean seguros, así que el hallazgo sigue visible. Si quieres quitarlos de una vista concreta, filtra tú mismo por Alcanzable.

Actuar sobre los hallazgos: responsables, tickets, remediación, informes y exportaciones

El triage solo da resultado cuando cada hallazgo importante termina con un responsable y un siguiente paso.

Responsables

El Responsable del issue de cada hallazgo de código sale del blame de tu SCM sobre el archivo afectado. Usa el filtro “Asignado a” para crear una cola para un desarrollador o revisar la carga de trabajo de una persona.

Para pasar trabajo a los desarrolladores de forma explícita, selecciona hallazgos y usa Enviar a equipo de desarrollo. Se aplica a los hallazgos que ya tienen una remediación generada: se asignan a los usuarios con el rol Desarrollador, pasan a Lista para corregir y registran quién solicitó la revisión. Los usuarios con el rol Desarrollador solo ven los hallazgos que tienen asignados.

Acciones masivas y roles

Las acciones masivas requieren al menos dos filas seleccionadas, y lo que ves depende de tu rol:

Rol	Acciones masivas
Administrador	Remediar, Enviar a equipo de desarrollo, Crear Pull Request
Operador de Ciberseguridad	Remediar, Enviar a equipo de desarrollo
Desarrollador	Crear Pull Request, habilitada solo cuando la selección incluye un hallazgo en Lista para corregir

Tickets

En la cabecera del panel de detalle, Crear ticket ofrece las integraciones de tickets activas de tu organización: Jira abre un formulario de ticket, ServiceNow crea un incidente y Webhook envía el hallazgo al webhook de issues que tengas configurado. Si no hay nada configurado, el menú enlaza a la página de integraciones de tickets. El módulo 9 explica cómo configurarlas.

Iniciar la remediación

Cada hallazgo tiene un tipo de remediación. Pull request implica un cambio de código; el botón dice Crear AI Remediation. Issue se usa cuando no hay una línea de código fuente que cambiar, para artefactos maliciosos y para proveedores sin pull requests; el botón dice Crear Issue. El enlace del pie “Abrir en”, seguido del nombre de tu proveedor y el número de línea, te lleva directamente al archivo en tu SCM.

Los hallazgos de Cloud y SCM no tienen botón de remediación, porque no hay ningún archivo de repositorio que cambiar. Un hallazgo de Registry ofrece Remediar en el repo en cuanto su imagen está vinculada a un repositorio de código fuente.

Para varios hallazgos a la vez, selecciónalos y elige Remediar. Plexicus los agrupa por repositorio, y tú decides si quieres Crear pull requests automáticamente y qué modo de pull request usar (PR único o Un PR por remediación, el predeterminado). El módulo 7 explica ambos modos y el panel Estado de remediación masiva. La remediación con IA consume tu cupo de uso de IA.

En ambos casos, Plexicus prepara un cambio revisable y nunca envía cambios a producción; tu equipo conserva el control de la fusión. El módulo 7 trata la remediación en profundidad.

Informes y exportaciones

Necesitas	Usa	Qué obtienes
Un informe compartible de la vista actual	Descargar y luego PDF	Se genera en segundo plano; un aviso dice “Te enviaremos un correo cuando esté listo” y después llega una notificación Informe listo
Hallazgos en un formato legible por máquina	Descargar y luego JSON	Un archivo SARIF 2.1.0 (findings.json) de la pestaña y los filtros actuales, que se descarga al instante. Por defecto solo incluye los hallazgos en estado Analizado por IA (módulo 8).
Un hallazgo para un ticket o una revisión	Descargar reporte, en el panel de detalle	Ese hallazgo como documento SARIF
Tu inventario de repositorios	Descargar, en Activos, Repo Scan	repositories.csv

Las dos exportaciones de la lista respetan la pestaña y los filtros activos. Las exportaciones JSON quedan reflejadas en el registro de auditoría. La lectura de hallazgos mediante la API REST se trata en el módulo 9.

Medir el progreso en el Panel de control

El módulo 2 presentó las pestañas y los filtros del Panel de control; esta lección cubre los widgets que siguen el progreso del triage. El triage es un hábito diario, y Panel de control te dice si está funcionando.

Qué cuentan los totales

Los totales del Panel de control reflejan el trabajo abierto. Excluyen duplicados, subhallazgos, falsos positivos, hallazgos eliminados y hallazgos ya marcados como Corregido. Los hallazgos de hardening se mantienen aparte de las cifras de vulnerabilidades. Por eso una buena semana de triage hace que los números bajen: tanto marcar falsos positivos como fusionar correcciones sacan hallazgos del recuento abierto.

Los widgets que responden a “¿estamos mejorando?”

Widget	Pestaña	Qué muestra
Puntuación de Postura de Riesgo	CISO	Una puntuación de 0 a 100 en la que más alto es peor, calculada a partir de los hallazgos abiertos ponderados por severidad, con más peso para los alcanzables. Muestra una línea de apetito de riesgo, una tendencia y una sugerencia como “Corrige N hallazgos para alcanzar el apetito”. Por ahora la línea de apetito es fija y no se puede configurar.
Nuevos vs Corregidos	CISO	Hallazgos creados por día frente a hallazgos que llegaron a Lista para corregir, Fix enviado, Emitido o Corregido, fechados según su remediación
Repositorios de Mayor Riesgo	CISO	Repositorios ordenados por una puntuación de riesgo calculada a partir de las severidades y el EPSS de sus hallazgos, con una flecha de tendencia. El tooltip muestra la puntuación y los recuentos de Crítico y Alto. Es una instantánea del momento actual, así que el filtro de repositorio se aplica, pero el rango de fechas no.
MTTR / Velocidad de Remediación	DevSecOps	Dos líneas en días: Tiempo hasta intento, desde la fecha de un hallazgo hasta que se inició una remediación, y Tiempo hasta corrección, desde esa remediación hasta que se completó
Antigüedad de Hallazgos	DevSecOps	Hallazgos abiertos por severidad en cuatro tramos de antigüedad: menos de 7 días, 7–30 días, 30–90 días y 90 días o más
Distribución de Alcanzabilidad	DevSecOps	Hallazgos por severidad, divididos en Alcanzable, No alcanzable y Desconocido

Otros widgets son Total Hallazgos, Cadena de Suministro, Exposición a internet, Cobertura de Escáneres y las vistas de OWASP. En Total Hallazgos, Vulnerabilidades Priorizadas cuenta los hallazgos abiertos con una prioridad de 80 o más.

Cómo leer el MTTR

Las dos líneas del MTTR señalan cuellos de botella distintos. Un Tiempo hasta intento largo significa que los hallazgos esperan antes de que alguien empiece una corrección, lo que indica un problema de triage o de asignación de responsables. Un Tiempo hasta corrección largo significa que las remediaciones se iniciaron, pero tardan mucho en completarse; compáralo con Tiempo hasta intento para ver si el trabajo se atasca antes o después de iniciar una remediación.

Nuevos vs Corregidos compara las llegadas con los hallazgos que recibieron una remediación. Si Nuevos se mantiene por encima de Corregidos durante semanas, la remediación no está siguiendo el ritmo de los hallazgos nuevos.

Plexicus no hace seguimiento de SLA ni de fechas límite; usa Antigüedad de Hallazgos y el MTTR para ver cuánto tiempo siguen abiertos los hallazgos.

Puntos clave

Los hallazgos están en cinco pestañas (Repo, SCM, Cloud, Registry y App Pentest) que comparten una tabla, un sistema de filtros y una vista de detalle.
La severidad indica lo grave que podría ser un hallazgo; la puntuación de prioridad de 0 a 100 indica lo urgente que es aquí, ajustada por explotabilidad, alcanzabilidad, confianza y exposición.
Los estados van de Analizado por IA a Corregido. Falso positivo y Mitigado externamente son indicadores, y una marca humana de falso positivo se puede revertir.
Los falsos positivos, los duplicados, los subhallazgos, los hallazgos eliminados y los que aún se están enriqueciendo se ocultan por defecto. Los hallazgos no alcanzables solo pierden prioridad.
Guarda tus mejores filtros como vistas, compártelos con Copiar enlace y dale a cada hallazgo importante un responsable, un ticket o una corrección revisable.
Los totales del Panel de control solo cuentan el trabajo abierto. Usa Nuevos vs Corregidos, MTTR, Antigüedad de Hallazgos y Puntuación de Postura de Riesgo para seguir el progreso.