El modelo y los requisitos del año

Un modelo de amenazas no se lee por los controles que dice tener, sino por los flujos que cambian de manos. Donde el dato pasa de una zona a otra, alguien deja de controlarlo; si en ese paso no hay un control que de verdad funcione, el modelo tiene un hueco aunque el diagrama se vea completo. Un control que nadie ha probado en mucho tiempo no protege más que uno que no existe.

Un árbol de ataque se lee como un mapa de decisiones del adversario: entre todas las ramas que llegan al mismo objetivo, elegirá la que menos le cuesta. Los controles mueven ese costo solo si funcionan; una política escrita que nadie ha comprobado no encarece nada, y contarla como si encareciera esconde la rama que de verdad está abierta.

Un actor entra en el modelo cuando quiere algo que la casa tiene, cuando la casa le deja abierto el camino que suele usar y cuando sabe recorrerlo. Basta con que falle uno de los tres ejes para que el actor quede fuera, por temible que suene su nombre. Lo contrario también pasa: un actor modesto con el camino abierto es más plausible que uno sofisticado sin entrada.

Los requisitos de inteligencia salen de los huecos del modelo, no de la lista de temas interesantes. Después se ordenan con un criterio escrito y se reparten en las horas que de verdad quedan, descontando los servicios que el equipo ya presta todas las semanas. Lo que no cabe se dice en voz alta y se aplaza; repartir horas que no existen es la forma más común de que un plan fracase sin que nadie lo note.