El tamaño de un hallazgo

Confidencialidad, integridad y disponibilidad son las tres cosas que se protegen de un dato, y cada ataque amenaza alguna. Leer la lista de clientes de Salitre sin permiso no la cambia ni la apaga: solo la ve quien no debería. Nombrar bien la propiedad que se rompe es lo que permite priorizar, porque un problema de confidencialidad de datos sensibles y uno de disponibilidad de un servicio secundario no se tratan igual.

Antes de preguntarse cómo se arregla un hallazgo, hay que saber qué propiedad tocó. Esa es la etiqueta que lo ordena frente a los demás.

Hay una diferencia que el principiante confunde: ver un dato y modificarlo son ataques distintos. Si alguien altera la tarifa de una carga en Salitre, nadie «vio» nada de más —rompió la integridad: el dato ya no es de fiar—. La integridad importa porque las decisiones se toman sobre datos que se dan por ciertos; un número cambiado sin que se note puede costar más que una fuga.

Distinguir leer de cambiar es distinguir dos columnas del mismo problema. El mismo sistema puede fallar en una y no en la otra.

Clasificar la propiedad es el primer paso; medir la gravedad es el segundo. Un servicio secundario caído una hora y la base de datos de clientes expuesta rompen propiedades distintas y además pesan distinto. Priorizar es ordenar por impacto real, no por el orden en que aparecieron los hallazgos ni por cuál suena más técnico. Ese criterio es lo que convierte una lista de problemas en un plan de por dónde empezar.

Un informe que no ordena por impacto obliga a quien lo recibe a hacerlo, y a veces no lo hace. Entregar el orden es parte del trabajo.

El tamaño de un hallazgo no se intuye: se lee en la tabla que cruza propiedad y gravedad. Abre el laboratorio, revisa la clasificación de hallazgos de Salitre y baja hasta el código de sala al pie.