Severidad y criticidad del recurso

La severidad de una fila describe la comprobación: qué tan grave suele ser que esa configuración falle en cualquier cuenta. Es una media del catálogo, útil para empezar a ordenar, pero ciega a lo que el recurso guarda, a quién llega y a qué cuesta perderlo.

La criticidad del recurso es otra cosa y la aporta la empresa: qué datos o procesos dependen de él. Dos recursos con el mismo fallo y la misma severidad pueden merecer atenciones distintas, y un recurso de criticidad alta con un fallo de severidad media a veces pesa más que uno de criticidad baja con un fallo crítico.

Abre hallazgos-fail.csv y inventario-criticidad.csv y cruza los dos por recurso. Hay un hallazgo con la severidad más alta de la lista cuyo recurso guarda datos sin valor: la herramienta lo marca como lo peor y la empresa sabe que no lo es.

Casa Tintorera combina las dos medidas en una regla simple, escrita en regla-de-priorizacion.txt: el puntaje es el peso de la severidad multiplicado por el peso de la criticidad. Una regla simple y escrita tiene una ventaja sobre el criterio de cada persona: dos analistas llegan al mismo orden.

Calcula el puntaje del hallazgo sobre el grupo de seguridad que abre el puerto de administración, con la severidad de la tabla de hallazgos y la criticidad del inventario.

Aplica la regla a todos los hallazgos que tengan recurso en el inventario y ordena de mayor a menor. Lo que importa es el que encabeza la cola, aunque no sea el que la herramienta marcó como crítico.

Un hallazgo cuyo recurso no está en el inventario no se puede puntuar: falta justo el dato que lo ordena. La salida cómoda es suponer una criticidad baja, y es la peor, porque lo desconocido pasa a ser lo último de la cola. La regla de Casa Tintorera lo dice sin ambigüedad.