01
Comenzar por los activos
Los activos incluyen datos, identidades, procesos, servicios, reputación y capacidad operativa. Identificarlos evita reducir AppSec a una lista de fallas técnicas sin contexto.
La criticidad depende del daño que produciría una pérdida de confidencialidad, integridad, disponibilidad o trazabilidad. Por eso una misma vulnerabilidad puede tener prioridades diferentes en dos sistemas.
- 01Activo
- 02Amenaza
- 03Vulnerabilidad
- 04Exposición
- 05Impacto
- 06Control
La severidad técnica adquiere sentido cuando se relaciona con un activo, una ruta plausible y una consecuencia para el negocio.
02
Amenazas y vulnerabilidades
Una amenaza es una circunstancia o actor capaz de causar daño. Una vulnerabilidad es una debilidad que puede ser explotada. La exposición describe qué tan accesible resulta esa debilidad desde una posición realista del atacante.
El análisis mejora cuando se formula como una cadena: actor, punto de entrada, precondiciones, acción, activo afectado y consecuencia.
03
Controles y riesgo residual
Los controles reducen probabilidad o impacto. Pueden ser preventivos, detectivos, correctivos o compensatorios, pero deben probarse y monitorearse para demostrar que funcionan.
Después de aplicar controles permanece un riesgo residual. Aceptarlo, reducirlo, transferirlo o evitarlo es una decisión explícita de negocio, no una conclusión automática de la herramienta.
Criterios para aplicarlo
- Relacionar cada hallazgo con un activo y una consecuencia.
- Priorizar exposición y explotabilidad además de severidad.
- Verificar la eficacia del control con evidencia.
- Documentar propietario, plazo y tratamiento del riesgo residual.
04 · Práctica guiada · opcional
Practica lo aprendido
Analiza el endpoint de Reserva de espacios y completa activo, amenaza, vulnerabilidad, exposición, impacto, controles y riesgo residual.
- 01Identifica el activo principal y su propietario.
- 02Describe un actor y una acción plausible.
- 03Explica la consecuencia para el grupo y la plataforma.
- 04Propón un control preventivo y uno detectivo.
- 05Define qué riesgo permanecería después de aplicarlos.
Ver solución orientativa
Activo: cupos y reservas del grupo; propietario: gestión de espacios.
Amenaza: usuario autenticado que cambia groupId para consultar información ajena.
Vulnerabilidad: ausencia de autorización por objeto o tenant.
Impacto: exposición de datos, fraude, reclamos y obligación de respuesta.
Controles: validar ownership en servidor y alertar accesos cruzados; el riesgo residual incluye defectos de implementación que requieren pruebas y monitoreo.
05
Comprueba lo aprendido
Responde antes de abrir la explicación. Esta comprobación es opcional y no guarda una puntuación.
01¿Toda vulnerabilidad crítica representa automáticamente el mayor riesgo?
No. También deben considerarse activo, exposición, explotabilidad, controles existentes e impacto real.
02¿Qué diferencia una amenaza de una vulnerabilidad?
La amenaza tiene capacidad o intención de causar daño; la vulnerabilidad es la debilidad que puede aprovechar.
03¿Quién acepta el riesgo residual?
La autoridad de negocio competente, informada por seguridad y tecnología; no la herramienta ni el analista de forma unilateral.
Cómo demostrar el objetivo
Compara tu práctica con estos resultados. Si solo diseñaste una prueba, registra su resultado como esperado, no como observado.
- El escenario conecta activo, amenaza, vulnerabilidad, exposición e impacto.
- Los controles se relacionan con el escenario y el riesgo residual tiene una autoridad de aceptación.
Qué debes recordar
- Un activo es aquello que necesita protección.
- Una vulnerabilidad requiere una amenaza capaz de aprovecharla.
- El riesgo combina probabilidad, exposición e impacto.
Tu cuaderno · notas personales
Cuaderno local
Tus notas del contenido
Se guardan únicamente en este dispositivo. Puedes exportarlas cuando quieras.
Material de apoyo · descarga, glosario y referencias
Consulta las condiciones de reutilización de los recursos descargables. Procedencia y condiciones de uso.