El modelo de amenazas que ya no describe nada

Un modelo de amenazas se apoya en supuestos: frases del tipo «esto no pasa aquí». Mientras sean ciertas, las amenazas que el modelo descarta están bien descartadas; cuando un cambio las contradice, esas amenazas vuelven sin que nadie las haya reevaluado. El registro de cambios te dice qué se movió y cuándo; los supuestos, qué frontera descansaba sobre qué. Cruza una cosa con la otra.

Un flujo que cruza una frontera de confianza es donde el modelo de STRIDE rinde más, porque es donde cambia quién controla qué. Un flujo que cruza una frontera y no está en el modelo es una zona sin evaluar. El diagrama de hoy marca, para cada flujo, si cruza frontera y si el modelo lo conocía.

Hay una falla más fina que el flujo que falta: el flujo que sigue en el modelo pero lleva datos distintos de los que el modelo evaluó. Su análisis se hizo para otro dato, así que sus controles pueden estar medidos para otro daño. La tabla guarda lo que el modelo decía y lo que viaja hoy.

Para decidir cuánto del modelo se puede conservar hay que saber también qué sigue siendo cierto. De los siete supuestos, casi todos tienen un cambio que los contradice; dos de los ocho cambios del registro no tocan ninguno, y el supuesto sano es el que ninguno de los ocho contradice.

Con el modelo desactualizado hay dos tentaciones: tirarlo y empezar de cero, o seguir confiando en él porque «ya se hizo». Lo que sirve es acotar: separar lo roto de lo que sigue en pie, evaluar primero lo nuevo que más datos mueve y dejar escrito qué clase de cambio obligará a revisar otra vez.