Sala 1 · Lo que Rosalinda tiene y lo que de verdad se puede escanear

El inventario dice lo que la organización cree tener; el descubrimiento de la red dice lo que de verdad hay. En una clínica una parte del descubrimiento es pasiva: se escucha el tráfico sin hablarle a nadie, porque hay equipos que no toleran un sondeo. Lo que aparece así y no está en el inventario no tiene dueño, ni alcance de escaneo, ni plazo para sus hallazgos.

Con los equipos clínicos y los de planta se pacta el modo de escaneo con quien manda sobre ellos: el dueño o el fabricante. Un pacto de solo escucha pasiva existe porque un sondeo activo puede dejar el equipo fuera de servicio. Comparar lo pactado con lo que el ciclo usó es la forma de saber si el programa respeta sus propios acuerdos.

En el entorno de pagos entra todo sistema que guarda, procesa o transmite datos de tarjeta, y también el que puede afectar la seguridad de ese entorno. Quedarse fuera exige una prueba de segmentación; no basta con que el sistema no toque tarjetas. Un sistema que no toca nada, no afecta nada y tampoco tiene la prueba entra por falta de prueba.

Los terminales de cobro no se miden con un escáner de red: se controlan con una lista, inspecciones y sellos. El recorrido en las cajas se contrasta con la lista oficial en los dos sentidos, y el caso más serio es el terminal que se ve y no está en la lista, porque nadie sabe quién lo puso.

Una plataforma de transferencia de archivos tiene varias piezas y no todas pesan lo mismo el primer día de un aviso. Las que importan primero son las que se alcanzan desde internet, y entre ellas las que además dejan archivos guardados, porque ahí hay datos que una explotación puede llevarse.