El modelo de la plataforma

Un límite de confianza se cruza cuando un flujo va de una zona a otra distinta: ahí es donde hay que autenticar, cifrar y vigilar. Un flujo no trae escrita su zona; la zona es una propiedad de cada extremo, así que hay que mirar de dónde sale y adónde llega.

La clasificación de un activo decide cuánta protección merece el flujo que lo lleva. Un dato restringido que sale hacia una zona que no controlamos pide un canal cifrado y una identidad propia, no un usuario compartido; un protocolo que no cifra deja el contenido legible para cualquiera que esté en el camino.

El puntaje de una amenaza es el producto de su probabilidad y su impacto; no se suma ni se promedia. Una amenaza sin ningún control no está mitigada ni transferida ni aceptada por escrito: está expuesta, y su puntaje es la medida de cuánto pesa dentro del modelo.

Un control previene o reduce; una regla de detección avisa cuando el control falla o se burla. Una amenaza puede tener su control y aun así no dejar rastro que alguien vigile. Para saber cuáles quedan ciegas se cruzan las amenazas con el catálogo de reglas.

Un diagrama es una afirmación, y el inventario es lo que hay. Cuando un recurso existe y el diagrama no lo nombra, el modelo de amenazas no lo cubrió: sus flujos, su dueño y sus controles no se pensaron. Importa más si lo que guarda es lo más sensible.