Diagrama de flujo de datos y fronteras de confianza

Un diagrama de flujo de datos tiene cuatro piezas: entidades externas (quien está fuera del sistema), procesos (lo que transforma datos), almacenes (lo que guarda) y flujos (lo que viaja entre ellos). Las fronteras de confianza se dibujan donde el dato pasa de una zona a otra con distinto nivel de confianza o distinto administrador: de internet a la aplicación, de la aplicación a un tercero.

En un sistema con modelo hay una frontera que no coincide con la red. El modelo recibe un único texto, el contexto, donde conviven las instrucciones del equipo, el mensaje de la persona y los fragmentos que se recuperaron de un índice. El modelo no separa esas fuentes por su origen. Por eso, cada vez que un texto que no escribió el equipo entra al contexto, hay una frontera, aunque los dos extremos del flujo estén en el mismo servidor.

Un diagrama declara, para cada flujo, si su contenido se considera confiable. Esa etiqueta decide después qué controles se aplican: lo no confiable se marca, se aísla o se valida; lo confiable pasa directo. El error típico en un sistema con recuperación de documentos es que un contenido entra marcado como no confiable, se guarda en un índice compartido y sale del índice con la etiqueta del índice, no con la suya. En ese salto el texto de un tercero se convierte, en el papel, en texto de la casa.

Sigue en el diagrama el camino de los archivos que suben los asociados hasta el contexto del modelo.

Las zonas agrupan elementos con el mismo nivel de confianza y el mismo administrador. Un flujo que va de una zona a otra cruza una frontera, y en cada cruce el modelo de amenazas tiene que preguntar quién autentica, qué se valida y qué se puede leer en tránsito. Contar los cruces da la primera medida del trabajo que viene: cada uno es un punto que revisar.

Usa la zona de cada elemento para decidir qué flujos cruzan.

Todo diagrama descansa en supuestos: cosas que el equipo da por ciertas y que no dibuja. Revisarlos es parte del modelo, porque un supuesto falso borra una amenaza entera del análisis. Los más peligrosos son los que dependen de un tercero, como el proveedor del modelo, porque se escriben de memoria y casi nunca se contrastan con el contrato.

Compara los supuestos del equipo con el extracto del contrato del proveedor.