Acuerdos de remediación, el plazo que se pacta

Un acuerdo de remediación no pone el mismo plazo a todo. Fija ventanas por severidad: una vulnerabilidad crítica se arregla en pocos días, una alta en unas semanas, una media en un par de meses. La lógica es simple —cuanto más daño puede hacer y más fácil es de usar, menos tiempo tiene de estar abierta—. El plazo no lo inventa el analista sala a sala: es una política que la organización acuerda una vez y aplica a cada hallazgo según su severidad.

Sin plazos escritos, «urgente» es una opinión y cada dueño de sistema la interpreta a su manera. Con ellos, la fecha límite sale sola del momento en que el hallazgo se clasifica.

La utilidad del acuerdo es que vuelve medible lo que antes era discusión. Un hallazgo con un plazo de 15 días que lleva 12 abiertos cumple; el mismo con 128 abiertos incumple, y no hay nada que opinar. Comparar los días que lleva abierto con su plazo pactado da un resultado binario —dentro o fuera— que se puede poner en un tablero y escalar sin dramatismo. El analista deja de pedir favores y empieza a reportar incumplimientos de un acuerdo que alguien firmó.

Esa es la diferencia entre «¿podrías mirar esto cuando puedas?» y «este crítico lleva 113 días fuera del plazo que acordamos». La segunda frase se atiende.

Un acuerdo de remediación necesita, además del plazo, una persona responsable de cumplirlo. El hallazgo lo detecta el analista, pero quien lo arregla es el dueño del sistema, y el plazo se le reclama a esa persona concreta. Un ticket asignado a «infraestructura» a secas no lo persigue nadie: todos suponen que lo mira otro. Asignar un dueño con nombre es lo que hace que el plazo tenga a quién reclamarle, y lo que permite escalar a su responsable cuando la fecha se pasa.

El plazo y el dueño van juntos: un plazo sin dueño es una fecha que vence en el vacío, y un dueño sin plazo es una responsabilidad sin reloj.

Esto no se aprueba leyendo. Abre el tablero de acuerdos de Ferranova y aísla el hallazgo que incumple su plazo —el que lleva abierto más días que los que su acuerdo le daba—. La nota de ese hallazgo trae un código de la sala.