Priorizar amenazas: probabilidad, impacto y explotabilidad

Priorizar solo por impacto lleva a gastar el esfuerzo en lo más aparatoso y no en lo más probable. Por eso las escalas de priorización combinan varios criterios. Los tres que más se usan son la probabilidad (con qué frecuencia se espera que ocurra), el impacto (qué se pierde si ocurre) y la explotabilidad (qué necesita quien quiera provocarla: acceso interno, una cuenta, o nada más que enviar un texto).

En un sistema con modelo la explotabilidad pesa mucho, porque muchas amenazas se disparan con contenido que cualquiera puede hacer llegar: un mensaje, un adjunto, una reseña. Una amenaza de impacto alto que exige acceso interno y una cadena improbable puede quedar por detrás de una de impacto medio que se provoca con un adjunto. Lo importante es que la regla esté escrita y sea la misma para todas las filas.

La regla de la cooperativa multiplica los tres criterios y obtiene un puntaje de 1 a 27. Aplicarla con disciplina es lo que permite defender el orden ante el comité: no es una opinión, es una cuenta con criterios publicados. Cuando la cuenta no coincide con la intuición del equipo, la diferencia es justamente lo que vale la pena explicar.

Aplica la regla a las ocho amenazas.

La regla es tan buena como los valores que se le ponen. Un error común es poner el impacto por la amenaza que uno imagina y no por la que está escrita. La escala de impacto describe qué se pierde en cada nivel; si la descripción de una fila dice que se pierde algo del nivel más alto y la fila lleva el nivel más bajo, el puntaje sale mal y la amenaza se hunde en la lista.

Lee cada descripción con la escala de impacto al lado.

Corregir el valor no es un detalle: cambia la posición de la amenaza y puede cambiar si se trata antes o después del piloto. Por eso, cuando una revisión corrige un criterio, se recalcula el puntaje y se anota el cambio con su motivo.

Recalcula la amenaza de la tarea anterior con el impacto que le corresponde según la escala.

El umbral convierte el orden en una decisión: lo que queda por encima se trata antes de abrir el piloto, lo del medio entra en un plan con fecha y lo de abajo se acepta con un dueño que lo firme. Con el umbral escrito, la discusión en el comité deja de ser «qué nos preocupa más» y pasa a ser «qué falta para cumplir la regla».

Aplica el umbral a la lista ya corregida.