La severidad del conjunto frente a la de cada parte

El sistema común de puntuación de vulnerabilidades que mantiene FIRST produce un número entre cero y diez, y su propia guía de uso advierte de que ese número mide la severidad técnica de la vulnerabilidad, no el riesgo de quien la tiene. El riesgo aparece cuando se cruza esa severidad con lo que vale el activo para el negocio, con lo que se sabe de la actividad real de atacantes y con los controles que el cliente ya tiene puestos.

En un informe de pentest eso se traduce en dos columnas distintas: la severidad, que es comparable entre clientes y entre años, y la prioridad, que es de este cliente y de este trimestre. Mezclarlas en una sola columna hace que el cliente no pueda comparar nada con nada.

La guía de uso del sistema de puntuación incluye una orientación para el analista —no una métrica formal— sobre cómo tratar varias vulnerabilidades que se aprovechan juntas: se publica la puntuación de cada una y, además, la del conjunto, construida con las métricas de facilidad del hallazgo que abre el camino y las de impacto del que lo cierra. La idea es simple: el conjunto es tan fácil de alcanzar como su primer paso y hace tanto daño como su último.

Abre el laboratorio y mira la hoja de puntuación del camino 1, el que arranca en internet y llega al objetivo en dos pasos.

El salto entre la peor parte y el conjunto es el dato que mueve una reunión: dice cuánto se perdía al leer las fichas por separado. Compara la puntuación del conjunto del camino 1 con la mayor puntuación individual de todo el encargo.

La puntuación del conjunto va en la sección del camino, con la lista de hallazgos que lo forman y la de los enlaces que lo sostienen, diciendo cuáles están verificados. Las fichas individuales se quedan con su número original. Así el cliente puede hacer las dos lecturas que necesita: cuánto vale cada arreglo por separado y qué deja de existir cuando se rompe el camino.

Y hay un límite honesto: la puntuación del conjunto no se lleva a la portada como si fuera «la severidad del encargo». Es la severidad de ese camino concreto, con esos enlaces y esos supuestos.