Controles compensatorios: bajar el riesgo sin el parche

Un control compensatorio es una medida que baja el riesgo de un fallo sin arreglar el fallo en sí. Si una web tiene una vulnerabilidad en un formulario y el parche tardará dos semanas, una regla en el cortafuegos de aplicaciones que corte el patrón de ataque reduce el riesgo hoy, sin tocar el código. Eso es un parche virtual: no cierra el agujero, pero pone una barrera delante mientras el arreglo de verdad llega. Otros ejemplos son aislar el activo en una red más restringida, desactivar la función vulnerable, o reforzar la vigilancia sobre ese servicio.

La mitigación no resuelve; contiene. Su valor es el tiempo: convierte un fallo que estaría expuesto dos semanas en uno que está contenido durante esas dos semanas.

La diferencia clave es qué pasa después. Una mitigación es temporal y sigue camino al parche: se pone la barrera hoy y el hallazgo queda en la cola para arreglarse cuando se pueda. Un riesgo aceptado es la decisión de no arreglar el fallo: no hay parche en camino, se convive con él detrás de sus medidas. Las dos bajan el riesgo y las dos llevan medidas compensatorias, pero una avanza hacia cerrar el hallazgo y la otra se detiene. Etiquetar una mitigación como riesgo aceptado hace que nadie vuelva a por el parche; etiquetar un riesgo aceptado como mitigación mantiene en la cola algo que ya se decidió no tocar.

Lo que distingue a las dos no es la medida —puede ser la misma—, sino si hay un arreglo pendiente detrás. La etiqueta tiene que decir si el hallazgo sigue vivo o ya descansó.

Como la excepción, una mitigación lleva fecha —pero por un motivo distinto—. La excepción se revisa por si el mundo cambia; la mitigación se revisa porque tiene un destino: el parche. Su fecha no es «cuándo volvemos a mirar», es «para cuándo esperamos el arreglo que la hace innecesaria». Una mitigación sin esa fecha se vuelve permanente por inercia: la barrera temporal se queda años, nadie aplica el parche, y lo que iba a durar dos semanas lleva dos años tapando un fallo que sigue ahí. Poner la fecha del parche al lado de la mitigación es lo que impide que el remedio provisional se convierta en el final.

Un parche virtual que dura para siempre dejó de ser un puente y se volvió el edificio. El control compensatorio es bueno mientras recuerda que es temporal.

Una mitigación contiene el fallo mientras llega el parche. Abre el registro de controles de Ferranova y aísla la mitigación de la web pública: el parche virtual de cortafuegos de aplicaciones que corta el patrón mientras se corrige el código. La nota de ese resultado trae un código de la sala.