Priorizar y registrar, con DREAD como contraste

DREAD califica cada amenaza con cinco factores del 1 al 10: daño potencial, reproducibilidad, explotabilidad, usuarios afectados y descubribilidad. El puntaje de la amenaza es el promedio de los cinco, y se ordena de mayor a menor. Es rápido de explicar y de aplicar, y por eso se ve tanto.

Aquí se usa como contraste crítico, no como método a adoptar. Lo que se quiere ver es qué pasa cuando el puntaje depende de lo que cada evaluador cree y no de lo que consta. Empieza por calcular el ordenamiento de una de las evaluadoras.

Ana y Luis calificaron sin hablar entre ellos. En la mayoría de las amenazas sus puntajes difieren en décimas, pero en una difieren en cuatro puntos: Ana le da 7,2 y Luis 3,2. Nadie se equivocó con la aritmética. Lo que cambia es la lectura de cada factor: la explotabilidad de una confirmación sin autenticar, o cuántos usuarios cuenta como «afectados».

Un método cuyos factores no tienen una definición común convierte la conversación sobre el riesgo en una discusión sobre cifras. El promedio de los dos no resuelve nada: esconde la discrepancia en lugar de explicarla.

La alternativa de la gerencia de Lindero es una escala de dos ejes donde cada nivel se puede comprobar. La probabilidad sale del estado del control que cierra el vector y de si ya ocurrió en la cooperativa; el impacto, del peor evento razonable medido en asociados, dinero y horas sin servicio. Dos personas con los mismos hechos llegan al mismo nivel.

Usa priorizacion/escala.txt con la tabla de hechos de las seis amenazas. Para cada una decide la probabilidad por el control y el incidente, el impacto por el peor de los tres ejes, y multiplica.

El registro de amenazas es el documento donde el análisis se vuelve decisión. Cada fila necesita: el elemento afectado, la categoría, el nivel y su porqué, la mitigación acordada, un dueño con nombre o rol, el estado y la fecha antes de la que se revisa. Si falta alguno de estos, la fila no se puede firmar ni se puede encontrar cuando se necesite.

Un estado «mitigada» es una afirmación fuerte: dice que alguien hizo algo que reduce el riesgo. Sin la mitigación escrita no hay nada que verificar, y sin dueño nadie responde por ello. Revisa el extracto del registro con ese criterio.