Excepciones y riesgo aceptado

Hay motivos legítimos para no parchear un hallazgo real. El activo no admite interrupción y el parche exige reinicio (una línea de producción, un equipo médico). No hay parche todavía y el fabricante no lo ha publicado. El sistema es viejo pero un proveedor lo exige tal cual y actualizarlo rompe la aplicación que corre encima. En esos casos, forzar el parche puede costar más que el fallo que evita. La decisión de no parchear es válida —lo que no es válido es que sea tácita, que nadie la firme y que se olvide—.

Reconocer cuándo el parche no es la respuesta es tan parte del criterio como saber priorizar. Un analista que solo sabe exigir parches no dura en una planta donde apagar el equipo no es una opción.

La diferencia entre un riesgo aceptado y un hallazgo olvidado está en cuatro piezas. Un dueño: alguien con autoridad que acepta el riesgo —no el analista, que no es suyo—. Una razón escrita: por qué no se parchea. Una medida compensatoria: qué se pone en su lugar para bajar el riesgo mientras tanto (aislar el activo, vigilarlo más de cerca, restringir el acceso). Y una fecha de revisión: cuándo se vuelve a mirar, porque una excepción sin caducidad es un olvido con papeleo. Sin las cuatro, no es una excepción: es un fallo que alguien decidió no ver.

En Ferranova, un controlador industrial que no admite parche se acepta con esas cuatro piezas puestas. Con ellas, la decisión es defendible ante un auditor; sin ellas, es negligencia documentada a medias.

Aceptar un riesgo no es cruzarse de brazos. Si el fallo no se parchea, se baja el riesgo por otro lado: se aísla el activo en su propia red para que no sea alcanzable, se le pone vigilancia extra para detectar si alguien lo toca, se restringe quién puede llegar a él. La medida compensatoria es lo que distingue «aceptamos el riesgo y hacemos algo» de «aceptamos el riesgo y rezamos». En Ferranova, el controlador viejo que no se puede parchear se mete en una red aislada sin salida a internet y se vigila su tráfico: el fallo sigue ahí, pero el camino para llegar a él se cerró.

Una buena compensación muchas veces baja la exposición, que —como viste al priorizar— es una de las variables que más mueve el riesgo real. Cortar el acceso a un fallo puede valer casi tanto como quitarlo.

Una excepción no es para siempre, aunque el fallo lo parezca. La fecha de revisión existe porque el mundo cambia: aparece un parche que antes no había, sale un exploit que vuelve urgente lo que era tolerable, el activo cambia de red y deja de estar aislado. Una excepción sin caducidad se convierte en una decisión de hace tres años que nadie recuerda haber tomado y que ya no se sostiene. Revisarlas es una tarea del ciclo, no un extra: la cola de excepciones vencidas es tan importante como la de hallazgos nuevos.

En un programa sano, una excepción con la fecha de revisión pasada cuenta como un hallazgo abierto otra vez. Que envejezcan sin que nadie las mire es una de las formas en que el riesgo se acumula en silencio.

Una excepción de verdad tiene dueño, razón, compensación y fecha. Abre el registro de excepciones de Ferranova y aísla la del controlador industrial que no admite parche. La nota de esa excepción trae un código de la sala.