Sala 3 · La auditoría de nube leída de la configuración

Un hallazgo de configuración pesa según lo que hay detrás: un almacén público con recursos del sitio web es una decisión de diseño; uno público con datos de pacientes es una exposición. La gravedad se lee cruzando el acceso con el contenido.

El principio de mínimo privilegio se rompe cuando un rol puede todo sobre todo, y se agrava si se asume sin un segundo factor. Un rol amplio pero con segundo factor y sin uso reciente es otro hallazgo, de menor urgencia.

Una regla de red se evalúa por tres cosas juntas: qué servicio expone, desde dónde y hacia qué sistema. Los servicios de base de datos no deberían ser alcanzables desde cualquier origen; una regla igual hacia un servidor interno con origen acotado es otra cosa.

La política de Pivora fija un mínimo de días de conservación por fuente de registro. La brecha se mide como el mínimo menos lo que hoy se conserva; la fuente de mayor déficit es la que el informe debe nombrar primero.

La entrada del proveedor en el registro público de garantía respalda lo que el cliente hereda de él. Si la fecha de vigencia ya pasó, esa entrada deja de ser evidencia aunque siga publicada; el atraso se cuenta en días desde la fecha en que dejó de valer.