Fallos y repetición

Según el programa de escaneo del consejo del estándar, un escaneo externo aprueba cuando no queda ningún hallazgo con puntuación base de 4.0 o más en la escala de CVSS y no hay condiciones de fallo automático. La cifra 4.0 es un umbral de puntuación, no una versión de CVSS. Mira la tabla hallazgos_externos: es la primera ronda del escaneo.

No todo lo que sale en el informe cuenta igual para la aprobación. Se cuentan los hallazgos de la primera ronda cuya puntuación base llega al umbral o lo supera. Los demás se corrigen por higiene, pero no impiden aprobar.

El umbral incluye el 4.0: un hallazgo de exactamente 4.0 hace fallar. Es el que más se cuela, porque en el informe parece «medio» y se deja para después. La tabla repeticiones muestra que ese hallazgo fue el penúltimo en resolverse.

Las cuatro rondas de repeticiones cuentan la historia: cada una corrige lo que quedaba y se vuelve a escanear. La corrección se comprueba con el siguiente escaneo, no con el aviso del equipo de que «ya está arreglado».

En el escaneo interno el comercio clasifica el riesgo con su propia escala, y lo que el estándar pide es que lo clasificado como crítico o alto se resuelva y se reescanee hasta cerrarlo. El 4.0 es solo del programa externo. Mira hallazgos_internos: la severidad es la que le da el comercio.