Contexto, exposición, datos y compensaciones

Un control compensatorio es una medida que dificulta el aprovechamiento de un fallo sin eliminarlo: una regla de cortafuegos de aplicaciones web, una segmentación de red, un aislamiento físico. Reduce la probabilidad de que el aviso se aproveche, pero el componente sigue siendo vulnerable.

Por eso una compensación solo sostiene una decisión si está verificada y con fecha de revisión: una regla que se probó hace un año puede haberse desactivado en una migración sin que nadie lo note. Una compensación sin verificar vale lo mismo que ninguna.

La tabla activos_contexto resume dónde corre cada componente, si lo alcanza internet, qué datos maneja y qué control lo protege. Un componente abierto a internet, que maneja datos de clientes y no tiene ningún control compensatorio es el peor cruce posible de contexto.

La columna verificado_hasta dice hasta cuándo una prueba confirma que el control funciona. Una fecha anterior al 6 de octubre de 2026 significa que, hoy, nadie sabe si el control sigue en pie: toca tratar el aviso como si no lo tuviera hasta volver a verificarlo.

La exposición cambia el orden de la cola. Cuenta cuántos de los siete avisos de la segunda tabla pertenecen a un componente que la primera tabla marca como expuesto a internet. Cada aviso corresponde a un solo componente.

El portal de clientes tiene un aviso con CVSS de 9.8 y una regla de cortafuegos de aplicaciones web con verificación vigente hasta fin de año. Su EPSS es bajo y no está en el catálogo de explotación observada. El responsable del portal pide dejarlo fuera de la cola de este mes.