Los canales de OSSTMM y sus reglas propias

OSSTMM 3 llama canal a cada medio por el que se interactúa con un activo, y define cinco: humano, físico, inalámbrico, telecomunicaciones y redes de datos. Los agrupa en tres clases: seguridad física (humano y físico), seguridad del espectro (inalámbrico) y seguridad de las comunicaciones (telecomunicaciones y redes de datos). Cada canal se prueba por separado para cada vector, es decir, para cada dirección de interacción (de fuera hacia dentro, de un departamento a otro).

El manual pide además declarar el tipo de prueba, que depende de cuánto sabe el analista del objetivo y de cuánto sabe el objetivo de la prueba. Define seis, desde aquel en que ninguno de los dos sabe nada del otro hasta aquel en que ambos lo saben todo. La razón es práctica: dos pruebas de tipos distintos no se pueden comparar, y si un revisor no sabe qué tipo se hizo, el manual dice que se trate como el de menor valor.

La molinería pidió que la prueba de 2027 «mire también la planta», y cada elemento de su solicitud lleva el canal por el que se interactúa con él. La carta cuenta además dónde le dolió el año anterior.

Compara los canales que cubre la solicitud con los cinco del manual.

Entre las reglas de enfrentamiento de OSSTMM hay una de orden: cuando la prueba incluye accesos con privilegios, primero se prueba sin ellos y después con ellos. Si se hace al revés, el analista ya sabe lo que hay detrás de la puerta cuando intenta abrirla desde fuera, y lo que mide deja de ser lo que vería alguien sin cuenta.

OSSTMM es estricto con la gente: las pruebas sobre personas solo se hacen con las que están en el alcance, y los resultados que tocan a empleados que no son de seguridad se informan sin identificarlos, en forma estadística. Otra regla limita a quién se avisa de la prueba: solo a las personas clave que el cliente elija, para que el resto no se comporte distinto durante unos días.