Compensaciones que existen y compensaciones de papel

Un control compensatorio solo baja la prioridad si se cumplen tres cosas a la vez. Está en un modo que impide y no solo observa. Cubre todos los caminos por los que se llega al activo, no uno. Y alguien lo comprobó y dejó la fecha. Si falta una, el control existe en el papel y la prioridad no baja, o baja solo a medias.

La frase «tenemos un cortafuegos» no es evidencia. La evidencia es la configuración exportada, el registro de una prueba o la fecha de la última verificación.

Abre el panel de controles compensatorios de Cordillera Seguros. La columna modo distingue «bloqueo», que corta el tráfico malicioso, de «detección» y «solo registro», que lo anotan y lo dejan pasar. Un control en esos modos sirve para investigar después; no protege mientras tanto.

La segunda consulta lista los controles que están en un modo que observa y no impide.

Un control puede estar en bloqueo y aun así dejar un camino sin cubrir. Pasa mucho con las API: la versión nueva pasa por la puerta de enlace que filtra, y la anterior sigue publicada por otro lado, directa al servidor. El control está bien configurado y es inútil para ese camino.

Compara las columnas rutas_expuestas y rutas_cubiertas: donde no coinciden, hay un camino sin proteger.

Un control instalado no es un control funcionando. Los agentes de protección de equipos envían eventos a su consola; cuando dejan de hacerlo, el agente sigue en la lista de software instalado y no ve nada. La columna dias_sin_reportar mide esos días de silencio. Un silencio largo convierte la compensación en papel, aunque nadie haya tocado la configuración.

Con la evidencia de los cuatro controles —uno que solo registra, uno que bloquea una versión de la API y deja la otra, uno de segmentación con una prueba de conectividad rechazada, y un agente sin reportar— se puede decir qué efecto tiene cada uno sobre la prioridad. No es todo o nada: una compensación parcial baja la prioridad a medias y se anota qué falta para completarla.