Sala 1 · Qué hay y qué lo amenaza

Un sistema que lee lo que escriben otros y además puede actuar reúne las dos condiciones que más pesan en un modelo de amenazas: una entrada que nadie controla y un efecto fuera de la conversación. Si además ya atiende en producción, que le falte su modelo de amenazas es la brecha más urgente del inventario.

Un modelo de amenazas describe el sistema del día en que se escribió. Un modelo nuevo, una herramienta nueva o una fuente nueva en el índice pueden crear amenazas o dejar sin efecto un control, y por eso la empresa se obligó a revisar las amenazas de un sistema cada vez que cambia. Lo mitigado no queda exento.

La prioridad no se decide a ojo ni por la amenaza que más ruido hizo en la reunión: se calcula con la escala que la empresa dejó escrita. Y solo compite por el primer puesto lo que sigue abierto.

Cada flujo que cruza una frontera de confianza hacia un modelo o hacia un índice es un punto por el que alguien de fuera puede influir en lo que el sistema hace. Un modelo de amenazas que existe puede tener un hueco tan serio como el que falta: un flujo que se añadió al diagrama y que nadie llevó al registro.