Sala 4 · Parche o valor

Una vulnerabilidad nace de un fallo en el código del producto y se cierra instalando una versión corregida. Una mala configuración nace de un valor, como una contraseña de fábrica o un servicio habilitado por defecto, y se cierra cambiando ese valor y volviendo a medir. La evidencia dice cuál es cuál: una versión corregida a la que llegar, o un valor leído distinto del esperado. Los de valor no entran en la cola del equipo de parches.

Hay casos mixtos: un fallo corregible con una versión nueva cuya explotación solo es posible si se cumple una condición de configuración. Instalar la versión corrige el código, pero el valor sigue donde estaba; cambiar el valor reduce la exposición, pero el código sigue defectuoso. El hallazgo se cierra con evidencia solo cuando se hacen las dos partes y se vuelve a medir.

Una versión leída dentro del equipo es una prueba directa. Un anuncio del servicio al conectarse puede estar desactualizado u oculto y, en las distribuciones de Linux, suele conservar el número de versión original aunque el paquete ya traiga la corrección retroportada. Un hallazgo que descansa solo en esa versión se confirma contra lo que dice el paquete de la distribución antes de abrir una tarea de parcheo.

Una excepción de configuración no es permanente: tiene aprobador, motivo y fecha de vencimiento. Mientras está vigente, el control que falla se acepta como riesgo conocido; el día que vence, el fallo vuelve a ser una desviación sin cobertura y debe cerrarse o renovarse con una decisión nueva. La vigencia cuenta hasta el último día incluido.

Un informe de cumplimiento resume la ejecución de una línea base en un porcentaje, y el porcentaje solo significa algo si se sabe sobre qué se calculó. Los controles manuales esperan a una persona y los que no aplican no pertenecen al equipo evaluado: ninguno de los dos es un aprobado ni un fallo, y meterlos en el denominador cambia la cifra sin que el equipo haya hecho nada distinto.