Quién es dueño de cada VPN

Ante quién responde la empresa operadora, según M15_owner_group. Los grupos corporativos son los nombrados en methodology.groups; independent es un valor del campo y no uno de ellos, y significa que el proveedor no responde ante nadie de esta lista.

Esta es la única taxonomía donde una hermana puede mover una puntuación. R02_cluster_contagion traslada un hallazgo contra una marca al canal de integridad de otra del mismo grupo — escalado según si comparten infraestructura, y nunca aplicado a un hallazgo anterior a la adquisición. R11_evidence_voiding funciona al revés: una auditoría fechada antes de que cambiara el control no cuenta para la empresa que hoy posee la marca. Ambas necesitan M16_control_since, por eso aquí la fecha importa más que la propiedad.

Lo que una página aquí no muestra es cuánto riesgo se trasladó: la magnitud vive en security.breakdown.cluster y no se publica en una ficha. La pertenencia al grupo, el rol de la marca y la fecha sí.