De la amenaza al control y a la prueba

Ante cada amenaza hay cuatro respuestas. Mitigar: poner un control que baje la probabilidad o el impacto. Eliminar: quitar la función o el dato que hace posible la amenaza; es la más fuerte, porque lo que no existe no falla. Transferir: pasar el riesgo a otro que lo gestione mejor, por ejemplo dejar que la pasarela guarde las tarjetas en lugar de guardarlas la tienda. Aceptar: decidir por escrito, con nombre de quien decide, que el riesgo es tolerable.

Aceptar no es olvidar: una amenaza aceptada sigue en el registro con su fecha de revisión. Y transferir no borra la responsabilidad sobre lo que queda del lado propio.

Ordenar amenazas por intuición premia a la más llamativa. Un criterio escrito y aprobado antes de valorar evita discutir caso por caso: define las escalas, cómo se combinan y qué se hace con cada nivel. El de Canasta Serrana multiplica probabilidad por impacto y fija qué nivel se corrige antes del lanzamiento. Puede parecer simple, y lo es a propósito: lo importante es que todos valoren igual y que se pueda revisar después.

Aplica el criterio al registro: calcula el riesgo de cada amenaza y clasifícala.

Cada control se escribe con tres cosas: el requisito que cumple, la prueba que lo demuestra y el criterio de aprobado de esa prueba. La prueba puede ser unitaria, de integración, una regresión de autorización, una revisión de configuración o una prueba dinámica autorizada; lo que no puede ser es «ya lo revisaremos». Sin prueba no hay forma de saber si el control se implementó, ni de notar el día en que un cambio lo rompe.

Revisa los controles propuestos y busca el que no tiene ni prueba ni criterio.

El control tiene que proteger la propiedad que la amenaza rompe. Un error frecuente es proponer un control bueno pero de otra familia: cifrar protege la confidencialidad, no prueba quién hizo algo. Se ve cruzando la letra de la categoría de la amenaza con lo que el control hace de verdad. La amenaza de un empleado que niega un reembolso tiene un control asignado que, aunque se implemente perfecto, no resuelve nada de lo que la amenaza plantea.

Una buena prueba de un control reproduce la condición de la amenaza con datos de prueba y comprueba el resultado esperado, sin depender de que alguien mire. Se escribe de modo que falle hoy, antes de implementar el control, y pase después; así demuestra que el control es lo que cambió el resultado. Para el control que se quedó sin prueba, la condición es una foto que llega con su ubicación dentro.