Cuando no se puede parchear

Hay motivos legítimos para no parchear un hallazgo a tiempo: el proveedor ya no da soporte a esa versión y no habrá parche, el parche rompe una pieza propia y el proveedor prepara una versión corregida, o aplicarlo exige detener una línea cuya próxima parada programada cae después del plazo. Los tres son hechos comprobables, y los tres aparecen en la tabla bloqueados con su motivo escrito.

No son motivos «no tengo tiempo», «el dueño no contesta» ni «da pereza reiniciar». Esos son fallos de gestión: se resuelven escalando, no aceptando riesgo. La excepción cubre lo que no se puede hacer, no lo que no se quiere hacer.

Mientras no hay parche, se hace algo: una medida que baje el riesgo, como aislar el activo, cerrar el acceso o filtrar el vector de entrada. Lo que cambia es el destino. En una mitigación temporal hay un parche en camino y la medida dura hasta que llegue. En un riesgo aceptado no lo hay, y se convive con el fallo detrás de su medida. La tabla excepciones distingue las dos en la columna tipo.

Las dos llevan aprobador y fecha de revisión. Mientras una excepción esté aprobada y vigente, esa fecha reemplaza al plazo del SLA: si vence sin renovarse, vuelve el plazo original y el hallazgo cuenta como abierto sin más. El reloj no se detiene por una promesa, solo se sustituye por una decisión firmada que caduca.

El control de excepciones es una tarea del analista, no un archivo muerto: cada semana se revisan las que han llegado a su fecha de revisión. Una excepción vencida y sin renovar es un hallazgo abierto que nadie está mirando, que es peor que un hallazgo abierto que alguien persigue. La columna estado de la tabla lo resume.

Consulta las excepciones y localiza la que ya venció.

Una excepción tiene un coste que se puede medir en días: el periodo que va de su aprobación a su revisión es el tiempo que la empresa acepta convivir con el fallo, con su medida puesta. Un periodo largo no es necesariamente malo, pero debe poder defenderse: ¿qué cambia en ese tiempo?, ¿cuándo se espera el parche?

Para la excepción del equipo de control de planta, la tabla trae la fecha de aprobación y la fecha de revisión. Cuenta los días calendario entre las dos.