Controles que reducen el impacto

Instalar las actualizaciones con un retraso fijo, por ejemplo varias semanas, tiene un costo claro: los parches de seguridad llegan más tarde. A cambio, deja que otros descubran un problema antes de que lo instales. En el caso, la versión alterada estuvo disponible 20 días, de modo que un retraso suficientemente largo evitó instalarla.

Para valorar el control se cuenta cuántos clientes quedaron fuera de la exposición solo por su retraso, es decir, los que figuran con la versión sin instalar.

Un retraso no sirve de nada si es más corto que la ventana de exposición de la versión alterada. La tabla permite ver, entre los clientes con retraso, cuál fue el más corto que bastó para no instalarla y cuál no alcanzó.

Con ese dato se fija una política razonable: un retraso algo mayor que la ventana habitual de descubrimiento, y una excepción rápida para las actualizaciones de seguridad críticas.

Un control útil es el que se mantiene. Una pyme sin equipo de seguridad no va a operar una compilación reproducible, pero sí puede restringir la salida de red del programa de contabilidad a los destinos que necesita. Es barato, no depende del proveedor y funciona con cualquier incidente que implique una conexión nueva, sin saber de antemano de qué incidente se trata.

El criterio es doble: que el costo sea asumible y que el control funcione aunque el proveedor no avise.

Los controles de cliente también son de contrato. Una cláusula que fija un plazo máximo de aviso del proveedor, junto con un contacto de seguridad documentado, convierte la espera en una obligación medible. No evita el incidente, pero permite reclamar si el aviso llega tarde y sabe a quién escribir cuando algo se ve.

En el catálogo, cada control tiene un id. Se busca el que corresponde a la descripción.

El catálogo separa los controles según quién los aplica. Los del proveedor, como verificar la compilación o proteger la cuenta de compilación, previenen o detectan la alteración. Los del cliente reducen lo que pasa cuando ocurre. Un cliente no puede exigir los primeros más que por contrato, de modo que los suyos tienen que valer aun sin ellos.

La mejor inversión del lado del cliente combina un control que limita el daño y otro que acorta el tiempo de reacción.