Amenazas y diseño del asistente

Un diagrama de flujo de datos sirve para ver por dónde entra lo que no controlas. En un sistema con un modelo, la frontera que más se olvida es la entrada al contexto: todo lo que llega ahí puede leerse como instrucción, venga de donde venga. Lo que importa no es qué proceso lo entrega, sino quién escribió el contenido.

Ordenar amenazas con una regla escrita permite defender el orden ante quien decide. La regla se aplica igual a todas las filas, con sus desempates, y solo sobre lo que sigue abierto; la prioridad que alguien puso a ojo no reemplaza la cuenta.

Un modelo de amenazas describe el sistema del día en que se revisó. Cada cambio que le da al asistente una capacidad nueva de actuar abre amenazas que el documento no conoce, y por eso el registro se ata a los cambios: si llegó a producción algo que modifica datos y nadie volvió a revisar, el modelo dejó de describir el sistema.

Las instrucciones del sistema se diseñan suponiendo que cualquiera las puede leer y que el modelo puede ser convencido de saltárselas. Por eso no son lugar para decidir quién ve qué: un permiso que depende de lo que el usuario afirma en la conversación lo concede el texto, no la identidad.

Una hoja de revisión contra una lista de riesgos vale por la clasificación de cada hallazgo, porque de esa entrada salen el control que se recomienda y quién lo atiende. Un hallazgo mal clasificado manda la corrección al equipo equivocado aunque la descripción sea exacta.