En esta simulación
- Decisión
- Priorizar independencia de aprobación, privilegios de despliegue y trazabilidad antes de ampliar las integraciones.
- Resultado
- 12 condiciones documentadas; 5 tratamientos P0 y todos los retests pendientes. El riesgo residual es una meta, no un resultado observado.
Contexto y alcance
Banco digital ficticio para personas y pequeñas empresas: cuentas de pago, transferencias, movimientos, extractos y beneficiarios. Las operaciones de mayor importe requieren separación entre quien prepara y quien aprueba.
El guion cubre 8 activos: portal, API transaccional, identidad, backoffice, integraciones, Active Directory, CI/CD y datos/auditoría. Los dominios utilizan .example y los artefactos de evidencia son sintéticos.
Tres decisiones prioritarias
Estas tres condiciones muestran por qué el orden de tratamiento necesita contexto de negocio. El informe describe las doce condiciones.
Pagos sin aprobación independiente
Riesgo empresarial: 20/25, Crítico. Tratamiento: P0.
El preparador puede aprobar su propio pago en el guion. No se ejecutó una liquidación real ni se demostró un perjuicio económico.
Decisión propuesta. Separar preparación y aprobación, comprobar la autorización en el servidor y probar que una misma identidad no pueda completar ambas funciones.
Leer F02/R02 en el informe completoPrivilegios de despliegue excesivos
Riesgo empresarial: 15/25, Alto. Tratamiento: P0.
Una credencial sintética expuesta en CI representa un acceso de despliegue demasiado amplio. No se realizó ningún despliegue en una entidad real.
Decisión propuesta. Retirar y rotar el secreto expuesto, reducir el alcance de la identidad y exigir aprobación e integridad de los artefactos antes de desplegar.
Leer F07/R07 en el informe completoAuditoría financiera modificable
Riesgo empresarial: 15/25, Alto. Tratamiento: P0.
La identidad de aplicación del modelo puede modificar eventos históricos. No se demostró fraude ni manipulación de un registro bancario real.
Decisión propuesta. Separar escritura y administración de registros, conservar una copia con protección frente a alteraciones y verificar que los cambios no borren la trazabilidad.
Leer F10/R10 en el informe completo
Cómo se prioriza
Severidad técnica y riesgo empresarial se registran por separado. CVSS describe la consecuencia técnica acotada; el índice empresarial del guion combina plausibilidad e impacto mediante P × I, en una escala de 1 a 25. No representa una pérdida económica ni una probabilidad anual.
Valoración técnica 0 críticas, 2 altas, 9 medias y 1 informativa.
Valoración empresarial 1 riesgo crítico, 8 altos y 3 moderados. Máximo: 20/25.
La política ficticia fija un objetivo ordinario de IRN ≤5. Los límites de independencia de pagos, autorizadores, despliegue y auditoría prevalecen al asignar P0, incluso si el índice es inferior al máximo. Estos umbrales pertenecen al escenario; no son plazos ni reglas de un regulador.
Tratamiento y cierre
Se proponen 5 tratamientos P0, 4 P1 y 3 P2, con responsables, plazos y criterios de comprobación. El presupuesto ilustrativo es CLP 24.180.000: 62 jornadas × CLP 300.000 y 30 % de contingencia. No es una cotización ni un gasto real.
Cerrar exige implementar controles, comprobar casos positivos y negativos, observar la operación y aprobar el cierre. Todos los retests están pendientes; ningún objetivo residual se presenta como riesgo ya reducido.
SIMULACIÓN LOCAL · NO ES UNA EVALUACIÓN PROFESIONAL
¿Qué atenderías primero?
Ordena tres condiciones ficticias. En este ejercicio suponemos que los pagos están activos, que puede suspenderse temporalmente el despliegue y que existe una copia externa de auditoría. Son supuestos didácticos adicionales, no hechos comprobados del informe.
El ejercicio es local y requiere JavaScript. La explicación completa está disponible debajo, también sin JavaScript.
Leer el criterio y sus límites
F02 primero: el preparador puede aprobar su propio pago; con pagos activos, contener esa falta de independencia es urgente.
F07 después: suspender despliegues y retirar la credencial reduce exposición mientras se corrigen privilegios y aprobaciones.
F10 a continuación: proteger registros y verificar trazabilidad sigue siendo urgente; aquí suponemos una copia externa utilizable.
En el informe los tres son P0. Este orden pedagógico no modifica esa prioridad. Si hay despliegue no autorizado en curso o pérdida de trazabilidad, el orden puede cambiar; actuar en paralelo puede ser necesario. No hay puntuación ni certificación del visitante.
Los índices 20/25 y 15/25 pertenecen al modelo ficticio, no a CVSS ni a probabilidades anuales. Consultar apetito y tolerancias.
Informe y procedencia
El PDF original fue generado con report-gen 0.21.2 y se conserva íntegro. El HTML actual se reexportó con report-gen 0.25.0 desde la fuente original pública recuperada. La copia de publicación coincide con la huella del YAML público histórico registrado. Se contrastaron además el alcance, los índices de riesgo, las prioridades y el presupuesto del resumen. No se ejecutó una evaluación ni un retest nuevo.
El HTML ofrece texto seleccionable, encabezados, tablas, enlaces e índice, lectura sin JavaScript y filtros opcionales. Es una alternativa al PDF sin etiquetado completo; no implica certificación WCAG, PDF/UA ni validación con lector de pantalla.