Priorización con equipos pequeños, decidir qué entra y qué se aplaza

La puntuación CVSS mide la gravedad técnica de una vulnerabilidad, no el riesgo para una empresa concreta. Dos fallos con la misma puntuación pueden importar muy distinto si uno está en un servicio expuesto a internet con datos de clientes y el otro en una herramienta interna sin datos.

Un equipo pequeño suma dos señales que cuestan poco. La primera es si la vulnerabilidad figura en el catálogo de vulnerabilidades explotadas conocidas que mantiene la agencia CISA de Estados Unidos (KEV), que indica uso real y no teórico. La segunda es la exposición: si se puede alcanzar desde internet y qué datos toca. La puntuación queda como desempate.

Las reglas de Ruibarbo son simples y se pueden aplicar sin discutir: primero lo que está en explotación conocida, después lo expuesto que toca datos de clientes y el resto por puntuación. Se llena la capacidad de 24 horas en ese orden y, si el siguiente hallazgo no cabe, se salta al próximo que sí quepa.

Ese salto tiene una consecuencia incómoda: un hallazgo de puntuación alta puede quedar fuera por ser demasiado largo de corregir, mientras entran otros más pequeños. Eso es correcto si se registra. Aplica las reglas a hallazgos.csv e identifica el hallazgo de mayor CVSS que se aplaza.

La cifra de lo que entra en el sprint es lo que el equipo de ingeniería necesita para planificar. Debe salir de aplicar las reglas con los datos, no de una impresión. Un hallazgo cuenta una sola vez aunque cumpla más de un criterio, y solo si cabe en lo que queda de capacidad en el momento de llegarle el turno.

Con el orden ya aplicado, cuenta los hallazgos que se incluyen en las 24 horas.

Llenar la capacidad al máximo es una mala señal: cualquier imprevisto rompe el sprint. Aun así, el dato que importa para negociar con ingeniería es cuántas horas se piden de verdad. Así se ve si queda un pequeño margen o si se está pidiendo más de lo acordado.

Suma las horas de los hallazgos que entran.

La quinta regla de Ruibarbo dice que lo que no cabe se registra con dueño, fecha de revisión y un control compensatorio. Es lo que separa aplazar de abandonar. Un control compensatorio es una medida que reduce el riesgo mientras llega la corrección, por ejemplo restringir el acceso al servicio o vigilar su uso.