Priorizar por exposición real, no por cantidad

La severidad que trae un hallazgo viene de un catálogo: dice qué tan mal está ese ajuste en general, no qué tan mal está en tu cuenta. Un puerto de administración abierto a internet es grave en general, pero si el grupo de seguridad no está asociado a nada, no hay máquina que atender y no hay nada que alcanzar.

La exposición real se razona con tres factores a la vez. Si el hallazgo se alcanza desde internet (o solo desde dentro). Qué datos toca el recurso (pagos, personales, públicos o ninguno). Y qué privilegio da quien lo aproveche (administrador, escritura, lectura). Un hallazgo que reúne los tres es una ruta completa hacia el daño.

La severidad alta del catálogo puede caer sobre algo inofensivo en la práctica. Un grupo de seguridad con el puerto 22 abierto a todo internet es un hallazgo cierto, pero si ninguna instancia lo usa, nadie puede conectarse a nada a través de él. No es un riesgo hoy; es basura que conviene limpiar antes de que alguien lo asocie a una máquina.

La tabla de hallazgos de Sauzal trae una columna alcanzable. Revisa las filas de severidad alta y quédate con la que no tiene nada detrás.

La matriz de Sauzal convierte los tres factores en puntos: internet suma 3 si el recurso se alcanza desde fuera y 0 si no; los datos suman según su sensibilidad; el privilegio suma según lo que permite hacer. El puntaje es la suma de los tres. Un hallazgo no alcanzable no se puntúa y pasa a limpieza.

Un puntaje no es ciencia exacta, pero tiene una virtud: es explícito. Quien discuta el orden de la cola discute los valores de la matriz y no la opinión de nadie. Abre la matriz y calcula el del hallazgo P-03.

Con la matriz clara, ordenar es mecánico: se puntúan todos los hallazgos alcanzables, se ordenan de mayor a menor y se empieza por arriba. Dos cosas que ayudan. Primero, que el hallazgo con la severidad más alta de la herramienta no tiene por qué encabezar la cola. Segundo, que un recurso de pruebas con datos sintéticos suele bajar sin discusión.

Calcula el puntaje de los diez hallazgos de Sauzal y encuentra el que encabeza la cola.

El contenedor de fotos de productos de Sauzal tiene acceso anónimo de lectura y está expuesto a internet. Pero sus datos son públicos por diseño —las fotos están en el catálogo—, y el privilegio que da es de lectura. Su puntaje queda bajo.

Bajar en la cola no es ignorar. Un contenedor público que hoy tiene fotos puede recibir mañana otro tipo de archivo. Lo correcto es dejarlo anotado: o se cierra con un cambio fácil, o se documenta como excepción con dueño y fecha, y se vigila que su contenido siga siendo público.