Árbol de decisión de partes interesadas

El método SSVC, de CERT/CC con CISA, no tiene un árbol único. CERT/CC describe un modelo para quien desarrolla el producto y debe decidir con qué prioridad crear la corrección, otro para quien despliega el producto y debe decidir cuándo aplicarla, y otros para quien coordina el aviso. CISA publica además su propio árbol, con otras cuatro salidas. La pregunta de cada parte es distinta y por eso los puntos y las salidas también.

La clínica no fabrica nada: es un desplegador. Su árbol termina en cuatro salidas: defer, scheduled, out-of-cycle e immediate.

Inteligencia responde dos de los cuatro puntos del árbol: la explotación y si es automatizable. CERT/CC define este último como la posibilidad de que un atacante automatice de forma fiable los cuatro primeros pasos de la cadena de intrusión: reconocimiento, preparación del arma, entrega y explotación. Si los cuatro se automatizan, un mismo fallo se puede aprovechar contra miles de sistemas sin que nadie intervenga en cada uno.

No se responde por intuición sino con los informes y el análisis del fallo, y se anota de dónde sale.

Ejecuta SELECT * FROM arbol y SELECT * FROM valores. El árbol de la clínica se recorre de arriba abajo y vale la primera regla que se cumple: por eso el orden de las reglas es parte de la política. Una fila que no cumple ninguna de las primeras cae en la última.

Recorre a mano la fila AQV-05, regla por regla.

Una vez recorrido el árbol para todas las filas, el primer número que pide el comité es cuántas exigen actuar ya. Es el número que dice si el equipo de infraestructura tiene que parar lo que está haciendo esta semana.

El punto de explotación es el que más cambia con el tiempo, y quien lo vigila es inteligencia. Cuando un CSIRT confirma explotación activa de un fallo que solo tenía prueba de concepto, la fila se vuelve a recorrer desde arriba con el valor nuevo. Los otros tres puntos no se mueven: el cambio de decisión se explica con una sola evidencia, y esa evidencia se anota.