Priorizar de verdad

La prioridad real de un hallazgo sale de cruzar cuatro cosas. Gravedad: cuánto daño hace el fallo si se explota (el CVSS es un proxy). Explotabilidad: si hay un exploit público, y sobre todo si se está usando de verdad ahí fuera. Exposición: si el activo es alcanzable —desde internet es lo peor, desde una red interna segmentada es menos—. Criticidad: cuánto le duele al negocio que ese activo caiga. Un hallazgo que puntúa alto en las cuatro es una emergencia; uno que puntúa alto solo en gravedad es un número grande y poco más.

Ninguna de las cuatro basta sola. La gravedad sin exposición es teoría; la exposición sin criticidad es una puerta abierta a un armario vacío. El criterio es el cruce.

Un fallo de gravedad media con un exploit que se está usando activamente en internet puede urgir más que un fallo crítico puramente teórico. «Explotación activa» —que hay campañas usándolo ahora— es la variable que más sube una prioridad, porque convierte una posibilidad en una amenaza en curso. Los catálogos de vulnerabilidades explotadas conocidas existen para esto: te dicen qué se está usando de verdad, que es distinto de qué puntúa alto.

En Ferranova, un fallo de la web pública con explotación activa reportada se persigue hoy aunque su CVSS no sea 10, porque «lo están usando» pesa más que «podría ser grave».

Exposición y criticidad se combinan, no se suman a ciegas. Un activo crítico en una red interna bien segmentada (alta criticidad, baja exposición) es menos urgente que un activo de valor medio abierto a internet con un exploit circulando (criticidad media, alta exposición y explotabilidad). En Ferranova, bd-clientes es el activo que más le importa al negocio, pero no asoma a internet; la web pública vale menos por sí sola, pero es la puerta por la que alguien podría llegar a la base. Priorizar la puerta expuesta antes que el tesoro aislado no es un error: es entender que al tesoro se llega por la puerta.

Aquí es donde el analista aporta lo que el escáner no puede: sabe cómo está construida la red, qué se alcanza desde dónde, y qué activo es realmente el objetivo.

Recuperas los dos hallazgos del módulo anterior: el fallo crítico de puntuación 10 en la web pública expuesta con datos de clientes, y el mismo fallo en el equipo de recepción aislado que casi nadie usa. Ahora que tienes las cuatro variables, el veredicto se sostiene solo: el de la web va a la cabeza de la cola de esta semana —alta gravedad, expuesto, activo valioso, y con exploit conocido—; el del equipo de recepción entra en la cola normal de parcheo mensual, sin urgencia. El número era el mismo; la prioridad, opuesta.

Poder explicar por qué dos dieces terminan en sitios distintos de la cola es la prueba de que priorizas con criterio y no con el ratón ordenando una columna.

El producto de priorizar no es una lista de mil hallazgos ordenados: es una lista corta de lo que de verdad se puede arreglar esta semana, con nombre, dueño y razón. Una cola de mil «prioridades» no la atiende nadie —es otra forma de no priorizar—. Diez hallazgos perseguibles, con su porqué escrito, sí se cierran. El resto no desaparece: queda en la cola de fondo, pero no compite por la atención de esta semana. Saber cerrar la lista en un número manejable es parte de la habilidad.

Una buena priorización se mide por lo que deja fuera tanto como por lo que pone dentro. Si todo es urgente, nada lo es, y el dueño del sistema aprende a ignorar tus tickets.

Aquí está el oficio y aquí se mide. Abre el panel de priorización de Ferranova y aísla el único hallazgo donde coinciden las cuatro variables —el que se persigue hoy—. La nota de ese hallazgo trae un código de la sala.