Alcance por impacto de negocio

Empezar por «todos los activos» parece prudente y en la práctica paraliza: miles de activos, cientos de miles de hallazgos y ningún criterio para decidir por dónde empezar. Empezar por el impacto invierte el orden: primero se listan los servicios del negocio (emitir pólizas, pagar siniestros), se mide cuánto cuesta que fallen y qué datos tocan, y solo después se buscan los activos que los sostienen.

Una regla de alcance buena es escrita, se puede aplicar sin discutir y tiene dos o tres criterios: ingreso que depende del servicio, tiempo que el negocio tolera la interrupción, datos que trata, si está expuesto a internet. El alcance no es eterno: cada ciclo puede ampliarse con los servicios que quedaron fuera.

Consulta criterio_de_alcance y servicios. La regla C1 deja entrar por ingreso; la C2, por datos personales con exposición a internet. Un servicio puede entrar por una, por otra o por las dos. Fíjate en los que entran solo por la segunda: son los que un criterio basado únicamente en dinero habría dejado fuera.

Un servicio no se protege en abstracto: se protege cada activo que lo sostiene. La tabla activos_por_servicio los conecta. Una vez decidido qué servicios entran, la cantidad de activos del alcance se obtiene cruzando las dos tablas.

Un activo sin servicio asignado no se puede ordenar por impacto: nadie sabe qué pierde el negocio si cae, y por eso no se sabe si entra al alcance. No se ignora ni se declara fuera por pereza; se averigua de quién es. Hasta entonces se registra como excepción abierta del alcance.