La matriz de priorización, puntos, plazos y una regla de sobrescritura

Una matriz da a cada valor de cada variable unos puntos, suma los de un hallazgo y traduce la suma en un nivel con su plazo de corrección. Su valor no es la precisión —los pesos son una decisión de la casa— sino que es repetible y auditable: dos personas con los mismos datos llegan al mismo plazo, y cualquiera puede discutir un peso concreto en lugar de discutir la decisión entera.

Tiene un riesgo: una suma puede esconder un caso grave si una variable pesa poco. Por eso las matrices serias llevan un juicio explícito al lado de la suma, y no dejan que el número lo decida todo.

Abre el panel de la matriz de Cordillera Seguros. La tabla matriz da los puntos de cada valor; plazos traduce rangos de puntos en niveles; puntuados trae los nueve hallazgos con sus cinco valores ya determinados. Tú haces lo que falta: buscar los puntos de cada valor y sumar. Ojo con los negativos: una compensación verificada resta.

Con los puntos de todos los hallazgos aparece lo que la matriz existe para mostrar: el CVSS y la prioridad no van de la mano. Dos hallazgos de la lista tienen CVSS 9.8. Suma los puntos de los dos y mira en plazos dónde cae cada uno. Uno queda en el extremo urgente y el otro en el nivel de fondo, con el plazo más largo.

La sexta consulta muestra solo los hallazgos con CVSS 9.8.

La tabla reglas añade una excepción a la suma: explotación activa con exposición a internet directa y sin compensación verificada es urgente, sea cual sea la suma. Existe porque hay combinaciones cuyo riesgo no se reparte bien entre cinco variables que se suman: si alguien ya usa el fallo contra un activo alcanzable y nada lo frena, no importa que la criticidad sea media.

La sobrescritura no se usa por gusto del analista: se activa por condiciones que la política escribe y que se pueden comprobar en los datos.

Aplica la regla a la lista. Consulta los hallazgos con explotación activa, suma cada uno y comprueba las condiciones de la sobrescritura: exposición a internet directa y compensación que no esté verificada. Uno de ellos ya es urgente por su suma; el otro no llega, y solo la regla lo coloca en el nivel urgente.