Impacto técnico y automatizabilidad

El impacto técnico pregunta qué consigue quien aproveche el fallo. Es total cuando obtiene el control completo del componente o el acceso a toda su información; es partial en cualquier otro caso. No mide el daño al negocio: un fallo con impacto total en una impresora sigue siendo total, aunque a la empresa le importe poco. Esa importancia entra por los otros dos puntos.

La tabla criterios guarda el criterio que Cipreses fijó para cada valor.

La tabla tecnico trae, por aviso, la consecuencia descrita y el valor resultante. Se lee la columna consecuencia_descrita con el criterio de arriba. Cuenta los avisos con impacto total.

Automatizable responde si el aprovechamiento puede repetirse sin intervención humana contra muchos objetivos. En Cipreses es yes cuando el aviso no pide ninguna de tres condiciones: una cuenta válida, una acción de un usuario o acceso físico; si pide alguna, es no.

Entre los avisos de impacto total que no son automatizables hay uno que no pide cuenta válida y por eso su condición es otra.

Una condición como la cuenta válida o el acceso físico limita cuántas víctimas puede alcanzar un atacante a la vez. Si no hay ninguna, el aprovechamiento se multiplica. Por eso este punto se parece menos a la gravedad que a la velocidad de propagación del problema.