Glosario
Falso positivo
Hallazgo reportado por una herramienta o un analista que, comprobado contra el sistema real, no se corresponde con una vulnerabilidad explotable.
- FP
Conviene separar tres situaciones que se etiquetan todas como falso positivo y que no son lo mismo. La primera es el error de detección: la herramienta se equivocó y la vulnerabilidad no existe. La segunda es la vulnerabilidad real pero no explotable en ese contexto, por ejemplo porque la función afectada nunca recibe entrada del usuario. La tercera es la vulnerabilidad real y explotable que se decide no corregir, que no es un falso positivo sino una excepción de control.
Etiquetar la tercera como falso positivo es el atajo más dañino que existe en gestión de vulnerabilidades, porque hace desaparecer un riesgo aceptado del expediente sin que nadie lo haya aceptado formalmente.
Cerrar un hallazgo como falso positivo debería exigir escribir el motivo y dejar la traza de qué se comprobó contra el sistema de origen. Es precisamente el tipo de decisión que no debe automatizarse sin revisión humana explícita.