Alcance, reglas y puerto seguro para investigadores

El alcance enumera los activos que entran y los que no, por nombre y no por categorías vagas, y lo que no se puede hacer aunque el activo esté dentro (pruebas de volumen, ingeniería social, acceso físico). Las reglas de conducta dicen cómo se prueba: con cuentas propias, a un ritmo máximo, parando al llegar a datos ajenos, sin modificar nada que no sea propio y reportando pronto.

El puerto seguro es el compromiso de la empresa con quien cumple esas reglas: considera autorizada su investigación, no emprenderá acciones legales por ella y lo dirá así si un tercero se queja. Tiene un límite que no se puede saltar: una empresa solo puede autorizar pruebas sobre lo que es suyo. Un activo que opera otro, aunque cuelgue de tu dominio, no lo cubre tu puerto seguro, y la política tiene que decirlo.

Un alcance se revisa cruzándolo con el inventario real. Todo lo que responde bajo el dominio de la empresa debería caer en una de las dos listas. Lo que no aparece en ninguna es una zona gris: el investigador no sabe si está protegido al tocarlo y la empresa no sabe si recibirá reportes sobre ello. Es peor cuando ese activo olvidado tiene datos reales, porque suele ser el menos vigilado.

Abre el laboratorio y cruza inventario-activos.txt con politica-programa.txt.

Un reporte sobre un activo de un tercero no se paga ni se corrige en casa, pero tampoco se ignora. Se agradece, se cierra como fuera de alcance y se le dice al investigador a quién reportarlo. Si el tercero es un proveedor con contrato, la empresa además le pasa el aviso por esa vía, porque el riesgo acaba recayendo sobre sus propios clientes.

Lee reportes-recibidos.txt con el alcance delante.

Una regla de ritmo protege la plataforma y a los demás clientes, y solo sirve si alguien la mide. Para eso Agraz pide que cada investigador envíe una cabecera con su alias: así el borde puede agrupar sus peticiones y compararlas con el máximo de la política. Lee registro-borde.txt.

Cumplir una regla no te cubre si incumples otra. Las reglas sobre datos ajenos existen para que demostrar un fallo no se convierta en una fuga: se llega, se comprueba con lo mínimo y se para. Cuando alguien se pasa, el fallo sigue siendo real y se corrige igual; lo que se trata aparte es la conducta, empezando por pedir que borre lo que se llevó. Lee el AGZ-R-0422 y registro-exportaciones.txt.