Mitigaciones y prioridad

Cada categoría de STRIDE viola una propiedad, y el control que la cubre protege esa misma propiedad. Contra la suplantación, autenticar: contraseñas con segundo factor, firmas, llaves. Contra la manipulación, proteger la integridad: validar en el servidor, firmar, comprobar contra un valor guardado. Contra el repudio, registrar quién hizo qué y cuándo. Contra la divulgación, cifrar y limitar quién lee. Contra la denegación, poner límites y reservas. Contra la elevación, dar a cada cuenta solo los permisos que necesita.

Un control que protege una propiedad distinta de la que la amenaza rompe puede ser bueno, y no resuelve esa amenaza.

Con ocho riesgos hay que ordenar. Una forma sencilla y suficiente para empezar: dar a cada riesgo una probabilidad y un impacto del 1 al 5, según una escala escrita que todos entiendan, y multiplicarlos. El producto no es una verdad, es una forma de discutir con números en vez de con adjetivos; dos riesgos con puntajes parecidos se discuten, no se ordenan por decreto. Abre la escala y la tabla de riesgos del modelo de Farolito, y calcula el puntaje de cada uno.

Mirar solo la probabilidad o solo el impacto da un orden distinto del que sale de multiplicarlos, y por eso conviene la cuenta completa.

Un modelo con un control por riesgo puede parecer completo y tener controles que no protegen lo que dicen proteger. Se detectan comparando la categoría de cada riesgo con la propiedad que protege su control. Lee la tabla de riesgos y la de controles de Farolito y busca el que no corresponde.

Comprobar que el control encaja con la amenaza es la cuarta pregunta aplicada: si lo hecho fue suficiente.

Ante una amenaza hay cuatro respuestas, y mitigar es solo una. Se puede mitigar (poner un control que baje el riesgo), eliminar (quitar la función que lo crea), transferir (pasar la responsabilidad a otro, por contrato o por seguro) o aceptar (decidir convivir con él). Aceptar no es ignorar: es una decisión con nombre y apellido, una razón escrita y una fecha en la que se vuelve a mirar. Un riesgo bajo y caro de cubrir se puede aceptar; un riesgo alto no se acepta en silencio.

Una decisión de aceptar sin responsable y sin fecha de revisión es solo un riesgo que se dejó sin tocar.

Las decisiones del modelo no son eternas: lo aceptado hoy se revisa mañana, porque cambia el sistema, cambian los datos o cambia lo que se sabe del mundo. La tabla de decisiones de Farolito tiene un riesgo aceptado, con su responsable y su fecha de revisión. Léela para saber cuándo vence esa aceptación.

Una aceptación con fecha de vencimiento obliga a alguien a volver a decidir; sin ella, se convierte en costumbre.