Aceptar, transferir, evitar, mitigar o parchear

Aceptar es convivir con el riesgo tal como está, porque hay controles que ya lo contienen o porque el impacto es bajo. Mitigar es reducirlo, ya sea eliminando la vulnerabilidad (parchear, desactivar la función, subir de versión) o añadiendo controles que dificulten explotarla, como filtrar o segmentar. Transferir es compartir parte de las consecuencias con un tercero. Evitar es eliminar la superficie para que el riesgo no ocurra.

Por defecto, toda organización acepta el riesgo de usar su software. Lo que cambia con un aviso nuevo es que el riesgo suele subir, porque quien ataca tiene más motivos para desarrollar una explotación. La tabla respuestas resume las cuatro con un ejemplo de Vitalcor.

Evitar es la única respuesta que no deja nada que defender: si el servidor no existe, no hay vulnerabilidad que explotar en él. Es frecuente en la práctica con software que ya nadie usa y que sigue encendido porque nadie lo apagó. Cada activo de ese tipo agrega hallazgos al informe sin dar valor a nadie.

El registro de decisiones de Vitalcor, la tabla decisiones, tiene una decisión de este tipo.

Cuando no hay parche, la respuesta es mitigar con otras medidas, como aislar el activo. Pero la decisión no se cierra: la guía pide reevaluar periódicamente las alternativas al parcheo, por dos motivos. El primero, comprobar con una evaluación de riesgo que esas alternativas siguen siendo eficaces. El segundo, un análisis de costo y beneficio para ver si el activo aporta valor suficiente frente al costo de seguir mitigando, transfiriendo o aceptando su riesgo.

Lee la decisión sobre el analizador de laboratorio, que no tiene soporte del fabricante.

Aceptar un riesgo es una decisión legítima, pero es una decisión. Necesita quien la apruebe y una fecha en la que alguien vuelva a mirarla. Sin eso deja de ser una decisión y pasa a ser un olvido con buena presentación. La medida existente que la sostiene también debe estar escrita, porque aceptar «apoyándose en los controles que ya hay» exige saber cuáles son.

Revisa las decisiones de aceptar del registro y busca la que no cumple.