AP Score Action Priority
Priorización operativa de CVEs en escala 0 a 10. Cinco señales, una decisión: qué parchear esta semana, en tu infraestructura, frente a los actores que hoy te apuntan.
Por qué AP Score como metodología de priorización
La priorización de CVEs es uno de los problemas más concretos del SOC moderno. AP Score es la metodología propia de QMA construida específicamente para resolverlo. Un SOC típico enfrenta entre 15,000 y 25,000 CVEs nuevos al año, y CVSS, el estándar más extendido de la industria, asigna una severidad técnica abstracta: mide el potencial de daño de una vulnerabilidad en condiciones ideales de explotación, pero no responde a la pregunta operativa real: ¿cuál parcheo primero esta semana, en mi infraestructura, frente a los actores que hoy me apuntan?
El resultado es un backlog que se acumula. Las organizaciones en México y LATAM operan con infraestructura que no siempre coincide con los perfiles de activo que asumen los scores globales. Un CVE con CVSS 7.5 puede ser irrelevante para la operación de un banco regulado por CNBV, mientras que un CVE con CVSS 6.8 activamente explotado por ransomware regional en infraestructura de Cisco SD-WAN exige parche en 24 horas.
AP Score nació para resolver exactamente esa brecha. Combina evidencia de explotación real, severidad base, perfil del actor amenaza y la consistencia del análisis técnico en una escala unificada 0 a 10 que cualquier analista puede leer y priorizar sin fricción.
Componentes de la metodología AP Score
La metodología AP Score integra cinco señales. La versión vigente es la v3.0, en producción desde mayo de 2026. Las ponderaciones relativas y el algoritmo de cálculo son propietarios; lo que se publica aquí es la lógica conceptual de cada señal tal como aparece en la documentación TLP WHITE de QMA.
Explotabilidad
CISA KEV · EPSS · taxonomía de actores QMA
Si el CVE está siendo explotado en la naturaleza y con qué probabilidad lo estará en los próximos 30 días. La presencia en el catálogo CISA KEV satura esta señal por sí sola, y la atribución del actor la refuerza: una atribución firme suma más que una que viaja con el marcador (probable). Es la señal de mayor peso del cálculo.
Severidad base
Severidad técnica intrínseca según el CVSS publicado por NVD: confidencialidad, integridad, disponibilidad y complejidad de ataque. QMA no altera el valor base de NVD, pero lo incorpora con una curva que separa lo grave de lo muy grave en vez de tratar todo el tramo alto por igual, y con un ajuste al alza cuando el producto afectado pertenece a fabricantes de entornos industriales y de infraestructura crítica.
Cobertura del análisis
MITRE ATT&CK · NIST CSF · OWASP para OT · EPSS · CISA KEV
Cuántas de las lecturas disponibles alcanzaron a pronunciarse sobre el CVE y qué tan completa fue cada una: técnicas de adversario mapeadas, funciones del marco de ciberseguridad tocadas, riesgos de tecnología operativa identificados, probabilidad de explotación y presencia en el catálogo de explotación conocida. Un CVE analizado desde una sola de esas lecturas no pesa lo mismo que uno confirmado por todas.
Divergencia entre lecturas
análisis táctico, de postura y de tecnología operativa
Qué tan repartido está el hallazgo entre las tres lecturas que corren en paralelo sobre cada CVE. Cuando las tres encuentran materia, la vulnerabilidad no es un problema de un solo dominio: cruza la técnica del atacante, el control que falla y el activo industrial expuesto. Esa dispersión es señal de consecuencia y sube el score, mientras que un hallazgo concentrado en una sola dimensión lo deja donde estaba.
Novedad
fecha de alta en CISA KEV
Cuánto tiempo lleva la entrada en el catálogo. La señal decae de forma continua desde el alta, de modo que una vulnerabilidad recién incorporada pesa más que una que lleva meses publicada y con ventana de parcheo vencida. No borra a las viejas del tablero: las deja competir con las demás señales, que es lo que ocurre en un backlog real.
El resultado se expresa en escala 0 a 10 con un decimal. Un AP Score 9.0 o superior corresponde a CVEs con explotación masiva confirmada en LATAM o con impacto sectorial de alta consecuencia.
Escala de priorización: del 0 al 10
La escala AP Score está calibrada para traducirse directamente en decisiones operativas de parcheo y contención, sin requerir interpretación adicional por parte del equipo técnico.
| Rango | Etiqueta | Acción recomendada | Ventana |
|---|---|---|---|
| 9.0 – 10.0 | Crítico · Acción inmediata | Parcheo o mitigación urgente. Activar canal de escalación CISO. | ≤ 24 h |
| 7.0 – 8.9 | Alto · Prioridad esta semana | Incluir en sprint de parcheo vigente. Monitorear IoC asociados. | ≤ 7 días |
| 5.0 – 6.9 | Medio · Parcheo planificado | Parcheo en ciclo mensual. Evaluar controles compensatorios. | ≤ 30 días |
| 2.5 – 4.9 | Bajo · Backlog gestionado | Incluir en backlog. Revisar en ciclo trimestral. | ≤ 90 días |
| 0.0 – 2.4 | Informativo | Documentar. Sin impacto operativo confirmado en contexto LATAM. | Próximo ciclo |
Diferencia respecto a CVSS solo
CVSS es un instrumento de medición técnica, no de priorización operativa. Está diseñado para describir las propiedades de una vulnerabilidad, no para responder quién la está explotando hoy ni en qué geografía afecta más. Esto genera tres problemas concretos:
- Inflación de scores: CVSS 9.8 no distingue entre una vulnerabilidad con exploit público activo y otra teórica sin código de prueba.
- Ceguera de entorno: No distingue si el producto afectado sostiene una planta industrial o una aplicación de oficina, ni si el actor que lo explota tiene operación conocida en la región.
- Sin contexto de actor: Un CVSS 7.5 explotado por un APT con nexo estado tiene implicaciones radicalmente distintas a uno usado por un escáner automatizado commodity.
AP Score no reemplaza a CVSS: lo complementa. La severidad base publicada por NVD es una de las cinco señales del cálculo. La diferencia está en que la metodología AP Score añade la capa de inteligencia contextual que CVSS por diseño no incluye: explotación activa, actor amenaza, consistencia del análisis y antigüedad de la entrada.
Comparativa con metodologías comerciales
Tenable VPR, Rapid7 Real Risk Score y Qualys TruRisk son metodologías propietarias construidas por empresas con décadas de experiencia en gestión de vulnerabilidades. Son excelentes dentro de sus plataformas respectivas. La diferencia honesta con AP Score es una sola: ninguna fue diseñada con foco explícito en México y LATAM. No es una crítica: es un nicho que QMA eligió cubrir.
| Metodología | Owner | Variables | Foco LATAM | Disponibilidad |
|---|---|---|---|---|
| AP Score | QMA | KEV · EPSS · CVSS · Exposición LATAM/MX · Actor | Sí, optimizado México y LATAM | Pública (TLP WHITE) |
| Tenable VPR | Tenable | CVSS · Threat intel · Exploit maturity · Asset criticality | Global | Clientes Tenable |
| Rapid7 Real Risk | Rapid7 | CVSS · Exploit availability · Malware exposure | Global | Clientes Rapid7 |
| Qualys TruRisk | Qualys | QDS × Asset value · Threat intel integrada | Global | Clientes Qualys (VMDR) |
Las organizaciones en México que operan bajo esquemas MSSP con plataformas de los vendors mencionados pueden usar AP Score como capa complementaria de contextualización regional, sin reemplazar sus flujos de gestión de vulnerabilidades existentes.
Cómo se publica AP Score
La metodología AP Score se publica de forma sistemática en tres canales complementarios para priorización de CVEs accionable:
Capítulos ZDU
Cada análisis de CVE en ZDU incluye su AP Score, rango de escala y las variables que determinaron el resultado. Capítulos AP ≥ 9.0: ZDU-000, 006, 009, 010, 011, 013, 014, 015, 031, 033.
Ver índice ZDUCapítulos vía RSS estándar
Los análisis publicados se sirven como RSS estándar con título, URL canónica, fecha y categorías. Consumible por agregadores de inteligencia, lectores RSS y herramientas de monitoreo de fuentes.
Suscribir feedIntegración SIEM/SOAR en preparación
Formato API consumible por SIEM/SOAR con campos ap_score, cvss_base, kev_confirmed, actor_class.
Acceso institucional vía contacto QMA.
Todos los outputs AP Score son TLP WHITE salvo indicación explícita contraria en la cabecera del capítulo o feed correspondiente. KEV-1 Intel, el boletín priorizado de CISA KEV con AP Score por entrada, se publica en qma.mx/kev-1/.
Preguntas frecuentes
¿Qué es AP Score?
AP Score (Action-Priority Score) es la metodología propia de QMA para priorización de CVEs en escala 0 a 10. Combina cinco señales: explotabilidad según CISA KEV, EPSS y la atribución del actor, severidad base publicada por NVD, cobertura del análisis, divergencia entre las lecturas técnicas y novedad de la entrada en el catálogo. El objetivo es convertir el ruido de vulnerabilidades en una decisión operativa directa: qué parchear primero, esta semana, en el contexto específico de la organización.
¿En qué se diferencia de CVSS?
CVSS mide la severidad técnica intrínseca de una vulnerabilidad, sin considerar si hay explotación activa, quién la explota ni qué tan expuesto está el entorno donde vive el activo. AP Score usa la severidad base de NVD como una de sus señales, y le añade inteligencia de explotación en tiempo real con KEV y EPSS, clasificación del actor amenaza, consistencia entre las lecturas técnicas y antigüedad de la entrada. El resultado es un score orientado a la decisión operativa, no solo a la descripción técnica.
¿Es propietaria? ¿Está disponible públicamente?
Las ponderaciones internas y el algoritmo de cálculo son propiedad intelectual de QMA. Las cinco señales conceptuales, la escala de interpretación y todos los scores publicados son TLP WHITE: accesibles sin restricción en capítulos ZDU, en el feed RSS y en el boletín KEV-1 Intel. Cualquier investigador, periodista o analista puede citar el AP Score de un CVE publicado referenciando la fuente QMA.
¿Se puede consumir AP Score en feeds y publicaciones propias?
Sí. Los scores publicados en capítulos ZDU son TLP WHITE y pueden ser citados,
referenciados o integrados en publicaciones de terceros con atribución a QMA.
El feed RSS estándar permite agregación automática
de capítulos publicados. Los feeds estructurados con campo ap_score consumibles por SIEM/SOAR están en preparación para
acceso institucional vía contacto QMA.
¿Cómo se actualiza el AP Score de un CVE en el tiempo?
AP Score es dinámico. Cuando un CVE entra a CISA KEV, cuando emerge un nuevo actor que lo explota, o cuando la exposición regional cambia significativamente, el score se recalcula. Las versiones de score quedan registradas internamente; la publicación de un capítulo ZDU refleja el AP Score vigente al momento del análisis y se nota si hubo recálculos posteriores.
Aplicá AP Score a tu sprint de parcheo
Capítulos ZDU para inteligencia narrativa, RSS para agregación, KEV-1 para boletín priorizado. Y cuando estés listo para integrar AP Score en tu SIEM/SOAR, hablamos.