La cola de postura

La severidad del catálogo no basta: un hallazgo crítico en un recurso sin importancia pesa menos que uno medio en el recurso del que depende el negocio. Por eso el equipo multiplica la severidad por la criticidad. Y no todo lo que falla entra en la cola: una excepción vigente aparta el hallazgo, pero una vencida ya no lo ampara.

Una excepción es una aceptación de riesgo con fecha. Cuando la fecha pasa y nadie la renueva, el hallazgo vuelve a ser del equipo aunque el papel siga ahí. Se compara cada vencimiento con la fecha del informe, no con la fecha en que alguien la aprobó.

Comparar dos informes por comprobación y por recurso separa lo que se arrastra de lo que empezó este mes. Un hallazgo que ya estaba suele tener historia y dueño; uno nuevo, sobre todo si es crítico, suele ser un recurso recién creado o un cambio reciente, y se atiende primero para que no envejezca.

Un informe consolidado solo habla de las cuentas que recoge. Si falta una cuenta de la organización, no hay hallazgos en ella porque nadie la miró, no porque esté limpia. La cobertura se mide contra el registro de cuentas, no contra lo que aparece en el informe.

El CVSS mide gravedad, no probabilidad: un 9,8 que nadie explota ni puede alcanzar espera más que un 7,5 con explotación activa. El catálogo KEV lista lo que ya se explota en la práctica, y la alcanzabilidad dice si el componente vulnerable está al alcance de quien ataca en este despliegue concreto. Hay que cumplir las dos condiciones a la vez.