Redacción de la justificación de prioridad

Una justificación de prioridad responde a seis preguntas: qué se decidió, con qué señales externas (EPSS, catálogo de explotación observada, puntuación), con qué contexto propio (exposición, datos, controles), en qué plazo, quién es el responsable y qué hecho nuevo obligaría a revisar la decisión. La decisión de diferir un aviso necesita la misma disciplina que la de corregirlo, porque es la que se cuestiona después.

Una frase como «es crítico» no se puede auditar: no dice de dónde sale ni cuándo dejaría de ser cierta.

La política de Huarango exige un responsable en cada justificación. Sin él, nadie cierra el aviso ni nadie responde cuando vence el plazo. Revisa los cinco archivos aviso-86xx.txt de la carpeta justificaciones y busca el que no lo tiene.

La política pide citar las señales usadas. Una justificación que solo cita la puntuación CVSS no usa ni la probabilidad de explotación ni la constancia de explotación observada, y tampoco incorpora el contexto del sistema. Encuentra la que se queda en el número.

El contexto de AVISO-8602 dice solo «es crítico». El portal de clientes está expuesto a internet, maneja datos de clientes y tiene una regla de cortafuegos de aplicaciones web verificada hasta el 31 de diciembre de 2026. Estás reescribiendo esa línea.

Cada decisión tiene un plazo máximo en la política: Inmediata 2 días, Fuera de ciclo 14, Programada 60 y Diferir 180. Una justificación con un plazo mayor sin una excepción aprobada incumple la política. Compara el plazo de cada archivo con el máximo de su decisión y cuenta los incumplimientos.