La pregunta que responde
El radio de impacto es el alcance del daño si un activo específico es comprometido. No cuánto vale ese activo, sino qué toca: a qué sistemas accede, qué credenciales guarda, hacia dónde consigue moverse.
Es una pregunta sobre consecuencia, y cambia el orden de la cola más que cualquier nota de gravedad.
Por qué reordena la cola
Dos fallos con la misma nota CVSS pueden tener consecuencias separadas por órdenes de magnitud.
Uno está en un sitio institucional aislado, sin base de datos, sin integración, alojado fuera del entorno principal. Comprometerlo le da al adversario una página que desfigurar.
El otro está en un servidor de aplicación que habla con el directorio de identidad y guarda una credencial de servicio en su archivo de configuración. Comprometerlo da el comienzo de un camino hacia dentro.
El escáner atribuye la misma nota a los dos, porque la nota describe el fallo y no el lugar donde vive.
Cómo estimarlo sin mapearlo todo
El levantamiento completo de caminos exige visibilidad interna que la mayoría no tiene. Tres preguntas baratas cubren buena parte del valor.
¿Qué credenciales guarda o usa este activo? Una credencial de servicio en un archivo de configuración es el multiplicador más común del radio de impacto.
¿Con qué otros sistemas conversa? Las integraciones por API y las conexiones a bases definen hacia dónde se extiende el compromiso sin esfuerzo extra.
¿Comparte identidad con el entorno principal? Un entorno de preproducción autenticado contra el mismo directorio de producción tiene radio de impacto de producción, y casi siempre se trata como si no.
El error de lectura más común
Confundir radio de impacto con criticidad del activo.
La criticidad describe el valor de lo que está ahí. El radio de impacto describe el alcance desde ahí. El activo de menor valor de la organización puede tener el mayor radio, y suele ser exactamente ese el caso: un servidor olvidado, sin dato alguno, que guarda una credencial de servicio que todavía funciona.
Dónde entra en la priorización
Priorizar por gravedad ordena por lo mala que es la falla en teoría. Priorizar por radio de impacto ordena por lo lejos que llega el adversario si pasa por ahí.
La combinación que funciona es usar la validación de explotabilidad para saber qué es alcanzable de verdad y el radio de impacto para ordenar lo que quedó. La primera corta lo teórico; el segundo decide qué atacar primero entre lo restante.