Registrar el modelo de amenazas y mantenerlo vivo

Un registro de amenazas útil tiene, por cada fila, la amenaza, el elemento del diagrama que afecta, la mitigación decidida, un dueño con nombre de área, un estado y la evidencia que respalda ese estado. Sin dueño nadie la empuja; sin evidencia, el estado es una afirmación.

Lo que lo mantiene vivo es que esté atado a los cambios del sistema. Una política de revisión fija qué cambios obligan a revisar el modelo —una herramienta nueva con efecto, otro modelo o proveedor, una fuente nueva de datos, una integración con otro agente— y cada cuánto se hace una revisión completa aunque nada cambie. Así el modelo se actualiza cuando el sistema cambia, no cuando alguien se acuerda.

Cada cambio del sistema se puede comparar con los disparadores de la política. Si un cambio cumple un disparador, debería haber una revisión registrada que lo cubra; si no la hay, el modelo tiene un hueco del tamaño de ese cambio. Los cambios en las fuentes de datos son los que más se escapan, porque no se ven en la interfaz ni en el código del asistente.

Cruza la lista de cambios con la política y con el historial de revisiones del registro.

Un estado «mitigada» solo vale si la evidencia que cita lo respalda. Revisar el registro incluye abrir esa evidencia: el ticket que dice que se implementó, la prueba que dice que funciona. Cuando el ticket se cerró sin hacer el trabajo, la fila sigue diciendo mitigada y el comité cree que el riesgo está cerrado.

Abre los tickets que el registro cita como evidencia.

Además de las revisiones por cambio, la política pide una revisión completa cada cierto número de días, porque los disparadores no capturan todo: el entorno cambia, aparecen técnicas nuevas, el uso real se aleja del previsto. Saber cuánto lleva vencida ayuda a decidir si basta con una revisión puntual o hace falta rehacer el modelo.

Calcula con las fechas del registro y de la política.

Encontrar una fila mal cerrada no se resuelve borrándola ni dejándola como está. Se reabre con su estado real, se le asigna un dueño y una fecha, y se anota por qué cambió, para que la próxima revisión entienda la historia. Lo mismo vale para un cambio que no pasó por el modelo: se abre una revisión puntual y se deja constancia.