Matriz riesgo-control y priorización

Una matriz riesgo-control pone en una tabla cada hallazgo con su probabilidad y su impacto, y en otra cada control con los hallazgos que cubre y su costo. La puntuación más simple es multiplicar probabilidad por impacto en una escala corta; no es exacta, pero obliga a decidir con el mismo criterio para todos los hallazgos y deja la decisión escrita.

La lista de OWASP no está ordenada por gravedad para tu sistema: el número de cada entrada no dice cuál atender primero. Además, los controles que más rinden suelen cubrir varios hallazgos a la vez, porque las entradas están relacionadas. Por eso se miran las dos tablas juntas: el hallazgo más grave primero, y entre controles parecidos, el que cierra más.

Abre la tabla de hallazgos. Cada fila trae la probabilidad y el impacto en una escala de 1 a 3. Calcula la puntuación de cada uno y busca el mayor.

Abre la tabla de controles. Cada control dice qué hallazgos cubre. El que cubre más es, casi siempre, una decisión de arquitectura que atraviesa varias entradas de la lista, y suele ser el que conviene defender primero ante el comité.

El comité quiere saber cuánto cuesta cerrar lo grave antes del lanzamiento. Toma los hallazgos con puntuación 6 o más, busca los controles que viven fuera del modelo y cubren al menos uno de ellos, y suma sus días de esfuerzo. El control que vive en el prompt no entra en la cuenta, por lo que verás en la tarea siguiente.

Uno de los controles propuestos es una instrucción añadida al prompt de sistema, y es el más barato de la tabla. Parece cubrir dos hallazgos. Repasa lo que viste en la sala 4 sobre el prompt de sistema y decide qué se hace con él en la matriz.