Severidad con rúbrica y causa raíz

La severidad se discute mal cuando se decide hallazgo por hallazgo, porque cada uno parece urgente a quien lo encontró. Se fija una rúbrica antes de puntuar y se aplica igual a todos. La de Cenzontle multiplica dos factores: cuánto importa el dato que protege la primitiva y desde dónde se puede alcanzar. El resultado cae en una banda de crítica a baja.

Dos consecuencias importan. La misma primitiva débil puntúa distinto según lo que protege y quién la alcanza, así que «MD5 es siempre grave» no es un criterio. Y dos auditores con la misma rúbrica llegan al mismo puntaje, que es lo que permite defender el informe ante el equipo que tiene que corregir.

Abre rubrica.txt y mira los factores y las bandas.

Con la rúbrica en la mano, cada hallazgo de hallazgos.txt se puntúa con su dato protegido y su alcance. No hay interpretación: se busca el valor de cada factor, se multiplica y se mira en qué banda cae.

Hazlo para los siete y quédate con el puntaje más alto.

La banda crítica es la que se lleva la atención de la dirección, así que su recuento tiene que ser exacto y defendible. Un hallazgo que roza el límite no se redondea hacia arriba: el puntaje decide.

Con los puntajes que acabas de sacar, cuenta cuántos caen en la banda crítica.

Cuando varios hallazgos nacen del mismo error de fondo, el informe que los lista por separado multiplica el trabajo y esconde la solución. Se agrupan por causa raíz: un hallazgo, varias instancias, y una recomendación que corrige el origen. El grupo toma la severidad de su instancia más grave.

La última columna de hallazgos.txt nombra la causa de cada uno. Busca el que comparte causa con el de la invitación.

La rúbrica dice cuánto daño es posible. No dice cuánto tiempo hay, ni cuánto cuesta arreglarlo. Un certificado que caduca en días puede ser de severidad alta y, aun así, ser lo primero que hay que hacer, porque el reloj ya corre. Otro de severidad crítica que lleva meses puede planificarse con calma si hay una contención.

El informe separa las dos columnas: la severidad, que no se negocia, y la prioridad de remediación, que combina la severidad con el plazo, el esfuerzo y las dependencias.