Priorizar por amenaza relevante

La priorización parte del registro de riesgos, no de las listas de técnicas más comunes. Cada escenario de amenaza que la organización considera tiene una probabilidad y un impacto (aquí, de 1 a 5, escritos por la Naviera) y una cadena: las técnicas que usaría. El puntaje del escenario es probabilidad por impacto.

La relevancia de una técnica es la suma de los puntajes de los escenarios en cuya cadena aparece. Una técnica que sirve a varios escenarios importantes pesa más que una famosa que solo aparece en uno improbable. Dividir la relevancia entre los días que cuesta cerrar su hueco da el valor por día, que es la medida para ordenar cuando los días son pocos.

Las tablas escenarios y cadena dan los datos. Para una técnica, busca los escenarios cuya cadena la incluye, multiplica probabilidad por impacto de cada uno y suma. Una técnica que sirve a dos escenarios cuenta en los dos.

La tabla huecos_dias trae las técnicas por debajo del grado 3 con sus días de fuente y de regla y prueba. Calcula para cada una su relevancia entre los días totales de su hueco. No es la más relevante la primera por fuerza: una técnica con mucha relevancia y un hueco enorme puede quedar detrás de otra más modesta y barata.

La dirección pregunta por el escenario de mayor puntaje, el ransomware en los servidores de operación: ¿cuántos días hacen falta para que toda su cadena llegue al grado 3? Solo cuentan las técnicas de su cadena que tienen hueco; las que ya están en grado 3 no suman.

La tabla capacidad dice cuánto tiene el equipo. Se ordena por valor por día, de mayor a menor, y se toma en ese orden lo que quepa. Lo que queda fuera no desaparece: se anota con su motivo y se decide de nuevo en el trimestre siguiente. Una técnica enorme y relevante puede quedar fuera sin que eso diga que no importa.