Cobertura, criticidad y dueño

«Cobertura» tiene dos denominadores y se confunden con facilidad. La cobertura del escaneo es cuántos de los activos que están en el inventario se escanearon dentro de la ventana definida por el programa (por ejemplo, los últimos treinta días): es un número que controla el equipo de vulnerabilidades. La cobertura del inventario es cuántos de los activos que existen de verdad están en el inventario: es la que enseñan las salas anteriores —el activo sombra, la cuenta de nube sin registrar— y la que ningún panel calcula por sí solo.

Un panel puede mostrar noventa por ciento de cobertura del escaneo sobre un inventario al que le falta una quinta parte de la red. La cifra es cierta y la sensación que da es falsa. Por eso se informa con las dos y con la fecha de corte.

Los activos de criticidad alta son donde un hueco cuesta más, así que su cobertura se mide aparte: un noventa por ciento global puede esconder que la mitad de lo crítico no se escanea desde hace semanas. La tabla parametros fija la regla: un activo cuenta como cubierto si su último escaneo cae dentro de la ventana de cobertura al corte, y un activo «nunca» escaneado no lo está.

Mide la cobertura de los activos de criticidad alta de la tabla activos, en porcentaje y sin el símbolo.

El hueco más peligroso es el que suma todas las carencias: un activo crítico, sin dueño y fuera de la ventana de escaneo. Nadie lo vigila, nadie recibirá el aviso cuando algo salga y nadie tiene motivo para preguntarse por él. Tiene que haber exactamente uno entre los de criticidad alta de la tabla; si hay más de uno, estás leyendo mal alguna columna.

Un activo sin dueño no se deja así. Tampoco se asigna a quien tenga menos trabajo. El dueño se rastrea: quién paga el servicio, quién lo administra, qué aplicación depende de él, en qué zona de la red o en qué cuenta de nube vive, y quién lo creó, si el sistema lo recuerda. Cuando esas pistas no bastan, la pregunta sube al responsable del área donde está el activo, con la evidencia sobre la mesa: qué es, qué hallazgos tiene y qué riesgo corre.

El equipo de vulnerabilidades no se queda con el dueño por defecto: no puede parchear lo que no conoce y convertirse en propietario de todo lo huérfano le quita el tiempo para analizar. Su trabajo es dejar el hueco visible, con fecha, hasta que alguien lo reclame.