El sector, los terceros y la ventana

Un perfil del sector se arma con lo confirmado. Lo que más se reporta no es necesariamente lo que más daño deja, y una cifra enorme publicada sin fuentes no pesa lo mismo que una pérdida confirmada por la mesa o por el CSIRT. Si el perfil cuenta mal, el comité gasta el presupuesto en la amenaza más ruidosa en lugar de en la más cara.

Una biblioteca vulnerable no siempre está donde alguien la instaló a propósito: llega también dentro de otro componente, como dependencia transitiva, y entonces nadie la busca. La lista de materiales lo muestra, pero envejece; si después del inventario se registró un cambio en ese sistema, el cambio dice cuál es la versión de hoy.

Una política de parcheo convierte señales en categorías con un plazo. Estar en el catálogo de explotación conocida pesa más que una probabilidad alta; la exposición a internet decide la urgencia; una excepción solo protege mientras está vigente; y un control compensatorio puede reducir el riesgo sin cambiar la categoría que exige la política.

Una contraseña robada se cambia; una sesión robada ya está abierta y no la cierra ningún cambio de contraseña. Por eso, entre todo el material filtrado, lo primero es el registro de robo que trae cookies recientes de un servicio de la casa. Ni el cargo de la persona ni la vigencia de su contraseña cambian ese orden.