Sala 2 · Cinco idiomas de severidad

La tabla de equivalencias se lee por la pareja herramienta y valor de origen: la misma palabra puede significar cosas distintas según quién la emita. Una herramienta usa Critical para lo más grave y otra la usa un escalón más abajo. Para un puntaje numérico la fila trae un rango, y el valor se busca dentro de él. La traducción sale de la tabla y no de la opinión de quien importa.

Tarde o temprano una herramienta emite un valor que la tabla no tiene, por ejemplo tras una actualización o porque el equipo que la configuró usó otra palabra. Ese hallazgo no se descarta ni se le inventa un nivel parecido: queda sin traducir en una cola de revisión visible hasta que alguien decida su equivalencia y actualice la tabla.

Cuando dos plataformas ven la misma vulnerabilidad en el mismo activo, lo normal es que coincidan, y la coincidencia es evidencia: un hallazgo visto por dos herramientas independientes se cree más. Cuando no coinciden, la diferencia no se promedia ni se resuelve quedándose con la más alta por costumbre: se anota y se investiga por qué cada una puntúa distinto.

Una fila mide cuántas veces se informó algo, no cuántos problemas hay. La clave de deduplicación define qué filas hablan del mismo hallazgo; una clave demasiado laxa mezcla trabajos distintos y una demasiado estricta infla los números. Cuando dos filas comparten clave se conserva un solo hallazgo y se anotan todas las fuentes que lo vieron.

Algunas plataformas acompañan cada resultado con un porcentaje de calidad de detección: cuánto se puede creer que el hallazgo es real, según el método con el que se detectó. No mide cuánto dolería. Un resultado grave detectado con poca fiabilidad es una pregunta abierta, no un hallazgo confirmado, y se verifica por otra vía antes de escalarlo ni de descartarlo.