Leer la Vista del Proyecto
La vista del proyecto es donde aterrizas cuando el análisis ya corrió. Responde una sola pregunta —qué tan expuesto está este sistema— y todos los demás paneles de la pantalla existen para mostrarte cómo se llegó a esa respuesta.
El score de exposición
El anillo es un número del 0 al 100 con una palabra al lado: Bajo, Medio, Alto, Crítico o Severo. Lee primero la palabra. Ese número no mide severidad: es el riesgo que se espera que este sistema te cueste en un año, ya pesado por qué tan probable es cada amenaza. Por eso la escala se siente corta al lado del CVSS al que estás acostumbrado — no son la misma medida.
Y que sea corta es deliberado. Un score que sólo midiera qué tan grave puede llegar a ser algo marcaría Crítico para todos, siempre, y no serviría para decidir nada. Éste se mueve cuando se mueven tus controles.
- BAJO · 0 a 8
- un sistema bien controlado. Llegar ahí exige controles de verdad: implementados, verificados y ligados a las amenazas que cubren.
- MEDIO · 9 a 25
- donde suele caer una organización competente, y por eso un 15 aquí no es una mala nota. Es la lectura normal de un sistema con controles puestos y amenazas reales todavía abiertas. Si esperabas que un buen resultado fuera un número cercano a cero, ahí está el malentendido: cero querría decir que no queda nada por atender, y eso no le pasa a ningún sistema en operación.
- ALTO · 26 a 50
- los controles ya no le alcanzan a la exposición. Suele ser cobertura amplia pero poco efectiva, o amenazas críticas sin nada ligado.
- CRÍTICO · 51 a 75
- mal controlado, o expuesto por vías que nada está defendiendo.
- SEVERO · 76 a 100
- sin controles que cuenten, sobre un sistema alcanzable desde internet. Es una escalación, no un pendiente.
Por qué el peor caso es un número mucho mayor
Justo debajo del score vas a ver una severidad máxima que parece alarmantemente más alta — un 91 junto a una exposición de 15 es normal, no un error. Miden cosas distintas.
El score de exposición es riesgo esperado: lo que este sistema probablemente te cueste en un año, pesando qué tan probable es cada amenaza. La severidad máxima ignora la probabilidad por completo y muestra la peor amenaza individual del portafolio — cómo se ve un exploit exitoso si llega a ocurrir. Uno es el pronóstico, el otro es el techo. Necesitas los dos: un riesgo esperado bajo con un techo altísimo es una conversación distinta a un techo bajo.
Inherente contra residual
Este panel es donde los controles se ganan su lugar. Inherente es el riesgo promedio antes de acreditar ningún control. Residual son las mismas amenazas después de la efectividad de los controles que les ligaste. La distancia entre los dos es lo que de verdad te están comprando tus salvaguardas.
La reducción de riesgo lee esa distancia como porcentaje — y también toma en cuenta el estado de tratamiento, no sólo la efectividad, así que una amenaza que marcaste como aceptada o mitigada la cambia. La cobertura de controles mide otra cosa: la proporción de amenazas que tienen al menos un control ligado, haga mucho o poco. Cobertura alta con reducción baja significa que tienes controles puestos que no están moviendo el número.
- PRINCIPALES RIESGOS RESIDUALES
- el puñado de amenazas que siguen cargando más riesgo después de los controles — la lista de pendientes más corta y útil de la pantalla.
- AMENAZAS SIN CONTROL
- un conteo, ligado a la vista de cobertura. Son amenazas aportando todo su peso porque todavía nada las defiende.
Cuándo se mueven los números
Los scores se recalculan en segundo plano cada vez que cambia algo que los alimenta: una amenaza nueva, un control ligado o desligado, un estado de tratamiento actualizado. La pantalla no se bloquea mientras eso corre, así que un número puede ir unos segundos atrás del cambio que acabas de hacer. Recarga si una cifra se ve vieja.