01 / ENTENDER EL CONTEXTO
La severidad es un dato, no toda la decisión.
Una valoración técnica no sustituye conocer el activo, la exposición y los procesos afectados. Dos hallazgos similares pueden requerir prioridades distintas según el contexto.
La comunicación debe separar lo observado de lo inferido. Explicar las limitaciones del análisis ayuda a decidir con una incertidumbre explícita.
Un buen resumen no elimina la complejidad: ordena lo que importa.
02 / EXPLICAR LO IMPORTANTE
Un resumen que permita actuar.
La dirección necesita comprender el problema sin perder el vínculo con la evidencia.
Qué se ha observado y dónde.
Describe el activo, la condición detectada y la evidencia que permite comprobarla. Señala el alcance de la revisión y evita convertir una sospecha en un hecho confirmado.
Qué impacto podría tener y bajo qué condiciones.
Relaciona el hallazgo con un proceso de negocio. Explica qué tendría que ocurrir para que se materialice el impacto y qué información todavía falta.
Qué medidas se recomiendan y qué dependencias tienen.
Propón un siguiente paso, quién debe autorizarlo y qué equipos o proveedores intervienen. Expón las alternativas y sus limitaciones, no solo una lista de tareas.
Cómo se verificará que la exposición ha cambiado.
Acuerda un responsable, una fecha de revisión y una evidencia de cierre. Distingue entre una medida propuesta, un cambio ejecutado y un resultado comprobado.
03 / DE LA OBSERVACIÓN A LA PROPUESTA
El mismo hallazgo.
Una decisión más clara.
Una frase como «hay una cuenta antigua con permisos elevados» describe una condición. Para decidir, falta conocer su función, sus dependencias y quién puede autorizar el cambio.
Una cuenta de proveedor conserva privilegios de administración después de finalizar un proyecto. Su necesidad actual no está documentada.
- Observado
- La cuenta sigue habilitada y mantiene permisos elevados.
- Por comprobar
- Si la utiliza algún servicio y quién es el responsable del acceso. No se ha confirmado un uso indebido.
- Impacto potencial
- Si se utilizara sin autorización, podría permitir cambios en los sistemas incluidos en su alcance.
- Decisión propuesta
- Validar las dependencias con el responsable del servicio y acordar la retirada o reducción del acceso si ya no es necesario.
- Criterio de cierre
- Permisos revisados, cambio autorizado y comprobación de que los servicios dependientes siguen funcionando.
La medida no se ejecuta automáticamente. Requiere autorización, coordinación y un procedimiento de cambio adecuado al entorno.
04 / HACER SEGUIMIENTO
Cerrar el ciclo.
Una recomendación no está implantada porque aparezca en un informe. El seguimiento necesita responsables, criterios de cierre y una revisión de los cambios.
La mejor lectura ejecutiva no elimina el detalle técnico: lo organiza para que cada audiencia pueda tomar la decisión que le corresponde.
Comprueba tres cosas: hay un responsable, el cambio está documentado y existe evidencia de su resultado. Si se acepta el riesgo, registra quién lo decide, por qué y cuándo se revisará.
IDEA PARA LLEVARTE
Elige un hallazgo abierto y comprueba si su resumen permite responder: qué sabemos, qué importa y qué decisión falta.
Contenido orientativo. Los ejemplos no representan hallazgos, clientes ni incidentes reales de Defensops.