De dónde sale la criticidad de un activo

El escáner ve el software, las versiones y los puertos, pero no sabe qué significa cada máquina para el negocio. No distingue la base de datos de clientes de una máquina de pruebas vacía: para él, las dos son hosts con servicios. La criticidad —cuánto le duele a la empresa que ese activo caiga— es información de negocio, y vive en un registro de activos, no en el informe del escaneo. Priorizar sin ella es tratar todos los activos como si valieran lo mismo, que es justo lo que el escáner hace y lo que el analista existe para corregir.

La frase que lo resume: el escáner sabe qué fallo hay; solo el registro de activos sabe en qué duele. Juntar las dos cosas es el trabajo.

La forma práctica de asignar criticidad es mirar qué dato custodia cada activo y qué pasaría si se perdiera o se filtrara. Una máquina con datos personales de clientes o con información financiera es crítica, porque su caída arrastra cumplimiento, reputación y confianza. Una con información pública tiene menos en juego. Clasificar el dato —personal, financiero, interno, público, ninguno— es lo que convierte «parece importante» en una criticidad defendible, que se puede explicar a dirección y sostener ante un auditor. No es una etiqueta subjetiva: sale de una pregunta concreta sobre qué se custodia.

Clasificar el dato primero y derivar la criticidad después es lo que evita que la criticidad sea una opinión que cambia según quién la mire.

La criticidad dice cuánto vale el activo; la exposición dice quién puede llegar a él. Son independientes y hay que tener las dos. El activo que más vale puede estar en una red interna sin salida, y una web de valor moderado puede estar abierta a internet. Confundirlas lleva a dos errores opuestos: proteger solo lo valioso aunque nadie lo alcance, o proteger solo lo expuesto aunque no valga nada. El registro de activos declara las dos por separado —qué guarda y si asoma a internet— precisamente porque son preguntas distintas que se responden por separado.

Al priorizar se cruzan, pero se miden aparte. El tesoro aislado y la puerta expuesta se entienden solo si no se mezclan en una sola etiqueta.

La criticidad vive en el registro de activos, no en el escáner. Abre el registro de Ferranova y aísla el activo que custodia datos personales de clientes, el de criticidad crítica. La nota de ese resultado trae un código de la sala.