VERIS: actor, acción, activo, atributo

VERIS lo mantiene Verizon y su esquema está en un repositorio abierto. Organiza cada incidente en cuatro secciones, las «cuatro A» en inglés: Actor (quién: externo, interno o socio), Action (qué hizo: hackeo, malware, ingeniería social, abuso de privilegios, error, acción física, entorno), Asset (qué se afectó: un servidor, una persona, un equipo) y Attribute (qué propiedad de la información se comprometió: confidencialidad, integridad o disponibilidad).

La ventaja para comparar es que las cuatro responden preguntas distintas y se pueden cruzar: «cuántos incidentes causados por personas externas afectaron la disponibilidad».

Abre la consola. extracto_del_esquema trae los valores válidos de los campos principales y registros_veris los seis casos del miembro. El actor se registra por su relación con la organización afectada: quien está fuera de ella, quien trabaja dentro y quien es un tercero con acceso legítimo (un proveedor, un socio).

Un solo registro tiene como actor a ese tercero con acceso.

Un incidente real rara vez tiene una sola acción. Un correo que engaña a una persona y después un acceso con lo que ella entregó son dos acciones distintas, y VERIS permite registrar más de una categoría de acción en el mismo incidente. Para comparar esto importa mucho: si se obliga a elegir una sola, se pierde el encadenamiento.

Fíjate en cómo se escriben varias categorías en la misma celda: separadas por punto y coma.

El campo data_disclosure dentro de la confidencialidad separa lo que se sabe: hubo divulgación confirmada, solo pudo haberla, no la hubo o no se sabe. Es el campo que usa un informe cuando dice «brechas confirmadas».

El miembro quiere informar cuántos de sus seis incidentes fueron brechas con divulgación confirmada. Cuenta solo los que lo dicen con ese valor exacto.

El registro VR-02 es un error interno: una carpeta compartida quedó abierta por error y el valor del campo es «Potentially», porque no hay pruebas de que alguien la abriera. Quien prepara el informe del trimestre sumó ese registro a las brechas confirmadas «por precaución».

Mezclar los dos valores parece prudente y es lo contrario: infla la cifra y hace que no se pueda comparar con otros informes que sí separan los valores.