Las cuatro preguntas y el diagrama en tablas

Un modelo de amenazas es un ejercicio de cuatro preguntas que se repiten en este orden: qué estamos construyendo, qué puede salir mal, qué vamos a hacer al respecto y si lo que hicimos fue suficiente. El orden importa porque cada pregunta produce el material de la siguiente. Sin un diagrama acordado no hay una lista de amenazas que valga, y sin amenazas no hay mitigaciones que se puedan defender.

Un modelo no es una lista de verificación que se llena una vez. Es un documento con dueño que se escribe sobre un diseño concreto: el mismo método aplicado a otra aplicación produce otras amenazas. Por eso el primer entregable no es una amenaza sino un alcance y un diagrama.

Un diagrama de flujo de datos usa cuatro piezas. La entidad externa es quien está fuera del sistema y le envía o le pide datos. El proceso es código que transforma o decide. El almacén es donde los datos descansan. El flujo es el movimiento de datos de una pieza a otra, con su sentido, y siempre nace o termina en un proceso.

Descrito en tablas, el diagrama se puede auditar: se recorre cada fila y se comprueba que cada pieza participa en el trabajo del sistema. Un almacén que nadie escribe ni lee es una de dos cosas: un elemento que sobra o un flujo que el equipo olvidó dibujar.

Abre diagrama/elementos.txt y diagrama/flujos.txt y cruza las dos tablas.

Un almacén no hace nada por sí mismo: no copia, no calcula, no decide. Cuando un diagrama dibuja una flecha de un almacén a otro, esconde algo que sí hace trabajo: un proceso, un trabajo programado o una persona con acceso a las dos bases. Ese trabajo es justo donde se pueden perder, alterar o ver los datos.

Lee la tabla de flujos pensando en el origen y el destino de cada fila, y marca los que no tocan ningún proceso.

Corregir el diagrama no es una cuestión de estética. El método de las siguientes salas pregunta por amenazas elemento por elemento y flujo por flujo: lo que no está dibujado no se pregunta, y lo que no se pregunta no se mitiga. Un trabajo programado que copia datos entre dos bases sin figurar en el modelo es un proceso con credenciales propias que nadie evaluó.