Validación de lo priorizado

La validación contesta dos preguntas que la priorización no puede: ¿esta exposición se aprovecha de verdad en este entorno? y ¿los controles que se suponía que la protegían funcionan? Puede hacerse de varias maneras: leyendo configuraciones y políticas, comprobando con una prueba autorizada y acotada, simulando un control, revisando la evidencia de una herramienta. Siempre con autorización escrita y una ventana acordada, y con el mínimo necesario.

Es el paso que evita dos errores caros: pedir a un equipo semanas de trabajo por algo que no se alcanza, y dar por segura una exposición que sí se alcanza porque «el escáner decía bajo».

Un resultado de validación no es solo «sí» o «no». Una exposición confirmada se aprovecha de verdad. Una no alcanzable no puede usarse (el componente no se carga, la clave está revocada). Una bloqueada por control sí existe, pero algo la detiene: un límite de permisos, un filtro. Esa última se trata con cuidado: baja de prioridad, pero el control que la detiene pasa a depender del programa, y se conserva con dueño y fecha de revisión.

Consulta validacion y filtra por resultado.

Según la regla V2, una exposición confirmada pasa a movilización. Es la cifra que sale de la validación y se convierte en trabajo para los equipos. Cuéntalas con validacion y comprueba, si quieres, su prioridad en priorizadas.

P-06 terminó sin evidencia suficiente: nadie asume el servidor y no hay quien autorice una prueba. La tentación es archivarla como «sin riesgo demostrado». La regla V3 dice lo contrario: sin evidencia no se cierra ni se da por segura. La falta de dueño es en sí un hallazgo que mover.