El aviso del proveedor

Los plazos de un contrato se cuentan desde el hito que el contrato nombra, no desde el que más conviene. Para saber cuánto se pasó un aviso hay que fijar la hora en que empieza a correr el plazo, sumarle la duración pactada y medir cuánto después llegó el aviso.

El contrato fija quién entra, desde dónde y cuándo; cada conexión de la VPN se compara con las tres cosas por separado. Una conexión puede salirse de la ventana horaria y aun así venir del origen pactado, y eso es un hecho distinto del de una cuenta del proveedor que entra desde otro lado.

Una lista de componentes dice qué aplicaciones contienen una biblioteca, en qué versión y por qué vía, directa o dentro de otra. Para acotar el alcance de un aviso se cuentan las aplicaciones cuya versión cae en el rango señalado, sea directa o transitiva, y se deja aparte que tenerla no equivale a ser explotable.

En una planta las prioridades se invierten: antes de cortar una conexión se pregunta qué proceso físico gobierna ese equipo y cuánto tolera estar parado. Cortar de inmediato lo que tolera la parada y aislar con aviso lo demás es una decisión de quien responde por el proceso, no solo del equipo de seguridad.

Que un archivo traiga firma no basta si el paquete pudo ser el comprometido: su huella se compara con la que el proveedor publica en un boletín, y esa comparación vale por lo que cubre, un archivo a la vez. Un solo archivo distinto ya obliga a tratar todo el paquete como no confiable.