El diagrama de flujo de datos y sus límites de confianza

Modelar amenazas es responder, con método, cuatro preguntas que recoge la hoja de referencia de modelado de amenazas de OWASP: en qué estamos trabajando, qué puede salir mal, qué vamos a hacer al respecto y si el trabajo quedó bien hecho. La primera se contesta con un diagrama de flujo de datos, que usa solo cuatro tipos de elemento: la entidad externa (alguien o algo que la empresa no controla: el cliente, una pasarela de pagos, un proveedor de correo), el proceso (código propio que recibe datos y hace algo con ellos), el almacén de datos (donde los datos quedan guardados: una base, un almacén de archivos, un registro) y el flujo (la flecha que lleva un dato de un elemento a otro).

El diagrama no es un plano de red ni un diagrama de clases. No importa cuántos servidores hay detrás de la API: importa que la API recibe pedidos, los guarda y los manda a cobrar. Cada flecha lleva escrito qué dato viaja, porque la pregunta «qué puede salir mal» depende de eso.

El error más caro de un diagrama no es una flecha mal puesta: es una pieza que falta. Los diagramas se dibujan de memoria en una reunión y la memoria olvida lo que nadie usa a diario, sobre todo tareas programadas y exportaciones que mueven datos sin que haya una pantalla. Por eso el diagrama se contrasta con una fuente que no dependa de nadie: el inventario de lo desplegado.

Abre la lista de elementos y el inventario del equipo de plataforma, y busca el servicio que está en producción y no tiene ningún elemento que lo represente. Lee la nota que lo acompaña: además de faltar, saca datos de clientes de la empresa.

Un límite de confianza es la línea que separa dos zonas en las que el sistema confía de forma distinta: internet frente a lo que la empresa expone, lo expuesto frente a lo que solo se llama por dentro, la red de empleados frente al resto, lo propio frente a un tercero. Las amenazas se concentran donde un flujo cruza una de esas líneas, porque ahí un dato que viene de un lugar menos confiable entra en uno más confiable, o al revés.

La regla práctica es simple: si el origen y el destino de una flecha están en zonas distintas, la flecha cruza un límite y se revisa con cuidado. Que dos piezas estén en la misma empresa no las pone en la misma zona.

Cada flujo del borrador lleva una columna que dice si cruza un límite, y cuál. El equipo la rellenó a mano. Para revisarla hay que cruzar dos archivos: el de flujos (origen y destino) y el de elementos (la zona de cada uno). Una sola flecha cruza un límite y está marcada como si no lo hiciera.

Una flecha mal marcada sale del análisis: nadie le aplicará STRIDE y nadie preguntará quién puede escribir en ella.

La pasarela de pagos avisa a la tienda cuando un cobro se aprueba o se rechaza, llamando a una ruta que la tienda deja abierta en internet. Es un flujo que entra desde un tercero hasta un proceso propio, y lo que diga ese aviso cambia el estado de un pedido. Mira cómo está dibujado y qué límite lleva.