El alcance y lo que falta en el inventario

Esto es un simulacro: no se enseña nada nuevo, se usa lo ya practicado. Un análisis de riesgo es tan bueno como su alcance, y el alcance de una app nueva no es la lista de componentes que entrega el equipo que la construyó. Es el recorrido de lo que importa —los datos de salud, los datos de tarjeta— de punta a punta: dónde nace, por dónde pasa, dónde se guarda y qué terceros lo tocan.

Un inventario hecho por quien construye la app refleja lo que ese equipo tiene presente. Lo que falta suele ser lo que nadie pensó como «activo»: un depósito de archivos, una cola, un registro técnico.

Cruza dos listas: los componentes de la arquitectura y los activos del inventario. No te fíes de los nombres sueltos; compara id contra id. Un componente que existe y no figura no tiene dueño, no tiene criticidad y ningún control lo cubre, porque para el papel no está.

No todo lo que falta pesa igual. Fíjate en qué guarda cada uno de los que no aparecen.

Una fila del inventario puede existir, tener dueño y aun así estar mal clasificada. Los criterios de clasificación dicen cómo se decide la criticidad: por el dato más sensible que toque el activo, y no por quién lo administra ni por lo tranquilizador que suene que lo gestione un proveedor.

Aplica los criterios a lo que la propia fila declara guardar y compáralo con la criticidad que le pusieron.

En el pago con tarjeta desde la app móvil, el número pasa por la puerta de entrada y por el servicio de cobros antes de llegar al procesador. Que un componente «no guarde nada en base de datos» no quiere decir que el número no quede escrito en otro sitio. Un dato que pasa y se escribe, aunque sea en una traza «técnica», es un dato guardado.

Sigue el camino de la tarjeta y busca en la configuración dónde queda algo de lo que pasa. La muestra de preproducción te enseña cómo se ve una traza con esa configuración.

El alcance de los datos de tarjeta no lo fija quién guarda el número en una base de datos, sino por dónde pasa y dónde queda. Todo sistema que recibe, transmite o guarda el número, y todo el que se conecta a él sin separación, entra. Lo que se decide aquí condiciona qué controles se exigen y qué parte de la app se somete a ese nivel de exigencia.