Riesgos combinados — exposición, permiso y dato

Los hallazgos de una herramienta de postura se generan recurso por recurso, y cada uno trae su severidad aislada. La priorización por contexto pregunta otra cosa: ¿existe un camino que una una exposición, un permiso y un dato valioso? Una máquina alcanzable desde internet, con una vulnerabilidad conocida, que corre con un rol capaz de leer datos de clientes forma ese camino. Cada pieza por separado se calificaría media o baja; juntas son lo urgente.

Las tres señales vienen de lugares distintos: la exposición, de la red; el permiso, de la identidad; el dato, de la clasificación del almacenamiento. Por eso ninguna regla individual las junta, y por eso la herramienta las muestra como riesgo combinado.

La exportación del grafo viene en tres tablas: los recursos (con su exposición, su vulnerabilidad y su rol), los roles (con lo que pueden alcanzar) y la clasificación de los datos. El cruce es un trabajo manual de dos pasos: de cada recurso expuesto y vulnerable, ir a su rol; de cada rol, a lo que alcanza; y de ahí a la clasificación.

Haz el cruce completo. Solo un recurso reúne exposición a internet, vulnerabilidad conocida y un rol que llega a datos personales.

Un camino se describe de extremo a extremo: el punto de entrada, el rol que usa y el dato al que llega. Escribirlo así convierte un hallazgo técnico en algo que dirección entiende: «desde internet se llega a datos personales de clientes».

Nombra el destino del camino que acabas de encontrar.

Priorizar por contexto también sirve para bajar hallazgos: lo expuesto que no tiene permisos útiles ni datos alcanzables sigue siendo un problema de higiene, pero no es el incendio. Contar cuánto del ruido no tiene camino ayuda a explicar por qué una lista larga no significa un riesgo largo.

Cuenta los recursos expuestos a internet cuyo rol no alcanza datos personales.

La lista de hallazgos aislados, ordenada por severidad, empieza por la máquina de la cuenta de desarrollo: crítica, expuesta, vulnerable. Pero su rol no puede hacer nada y no toca ningún dato. La máquina de la API tiene una vulnerabilidad calificada solo como media. Hay que decidir el orden de trabajo de la semana y dónde cortar el camino primero.