Citar ATT&CK en una ficha sin inflar la cobertura

Una cita útil dice qué se siguió y qué se tiene. Qué se siguió: la técnica, la estrategia de detección y la analítica con su plataforma. Qué se tiene: cuántos de los componentes que la analítica exige están llegando completos y desde cuántos equipos. Añade la versión de ATT&CK consultada, porque las estrategias se revisan y su contenido cambia entre versiones.

Lo que no debe decir una cita es «cubierta» sin más. «Cubierta» no es un dato; es una conclusión que cada lector tomará con su propio criterio, y casi siempre más generoso que el de quien escribió la ficha.

La tabla fichas trae cinco fichas de los Astilleros. Cada una declara un estado de cobertura, la analítica citada, los componentes que esa analítica exige y los que llegan completos hoy. La regla para esta revisión es simple: una ficha puede declarar «cubierta» solo si los componentes completos son todos los exigidos.

No todas las fichas inflan lo mismo. Una que declara «cubierta» con un componente de cinco por llegar se queda corta por poco; una que declara «cubierta» cuando ninguno de sus componentes llega completo es una afirmación sin respaldo. Esa es la que se corrige primero, antes de que alguien la use para decidir.

Si el informe cuenta técnicas, tres técnicas con alguna regla parecen tres cubiertas. Si cuenta analíticas, la misma cartera da otra cifra: de las analíticas citadas, solo las que tienen todos sus componentes completos corren como se diseñaron. Es una medida más dura y más honesta, y es la que sostiene una conversación con quien decide el presupuesto.

El comité de seguridad de los Astilleros pide una cifra de cobertura por técnica para su informe anual. Tú tienes la lectura por analítica y plataforma de la tarea anterior, y sabes que la cifra por técnica sale más alta sin que haya más detección.