Severidad con criterio y orden de corrección

La severidad describe el riesgo del hallazgo con una regla que el cliente puede revisar: qué se observó que pasa y qué hace falta para llegar ahí. La prioridad es el orden en que se corrige, y la decide el cliente con la severidad y con el esfuerzo en la mano: un fallo medio que se arregla con una línea de configuración puede ir antes que uno alto que exige rediseñar un servicio.

El informe da las dos cosas por separado. Una tabla que ordena solo por esfuerzo oculta lo grave; una que ordena solo por severidad ignora que hay arreglos casi gratis.

Abre encargo/rubrica-de-severidad.txt y hallazgos/impacto-y-exposicion.txt. Cada hallazgo trae el impacto y la exposición que se observaron, no los que se imaginan. El puntaje es su producto, y la banda sale de la tabla de la rúbrica.

Un hallazgo con sesión robada suena a máxima gravedad, pero la rúbrica manda: el impacto exige una condición adicional y la exposición depende de qué hace falta para llegar al token.

El resumen ejecutivo y el informe dicen cuántos hallazgos hay por banda: es lo primero que mira un comité. Para contar, calcula el puntaje de cada hallazgo y ubícalo en su banda; no cuentes por cómo suena cada título.

Algunos hallazgos suenan peor de lo que son: «la app permite tráfico sin cifrar». La rúbrica no puntúa cómo suena, puntúa el efecto observado. En H-04, lo que se vio fue información técnica, y para aprovecharla hace falta estar en una red hostil. Se reporta con su banda y con la frase que la sostiene, porque un cliente que ve una severidad sin justificación la discute entera.

Con severidad y esfuerzo a la vista, el cliente decide el orden. Un criterio habitual es corregir primero lo más severo y, dentro de cada banda, lo más barato. Y entre las ganancias rápidas, hay hallazgos medios cuyo arreglo es un cambio de una línea y que se pueden cerrar la misma semana.

El archivo trae el esfuerzo estimado por el cliente para cada hallazgo, en días.