Gestión del riesgo aceptado, decidir con nombre, fecha y control

Una aceptación de riesgo es una decisión documentada de convivir con una vulnerabilidad un tiempo definido. Para ser válida necesita cuatro cosas: que la tome quien es dueño del servicio afectado, una fecha de caducidad, un control compensatorio y la evidencia de que ese control funciona. Sin cualquiera de ellas, lo que existe es una excepción sin respaldo, y en una auditoría se lee como ausencia de gestión.

Esto es especialmente importante en energía, donde las aceptaciones son frecuentes porque el parche puede esperar meses a una ventana.

Una aceptación vencida deja de valer ese mismo día. La vulnerabilidad vuelve a la cola de priorización y quien debía renovarla lo hace con evidencia nueva, o la corrige. Es uno de los fallos más frecuentes: el registro crece, nadie lo revisa y las fechas pasan sin que nada cambie.

Compara la columna caduca de registro.csv con la fecha de hoy, 2026-10-07.

La primera regla de la política dice quién acepta: solo el dueño del servicio afectado. No es un trámite: el dueño es quien asume las consecuencias si el riesgo se materializa. Una aprobación firmada por otra persona, aunque tenga un cargo alto, es inválida para la política y se corrige pidiendo la decisión a quien corresponde.

La columna rol dice si quien firmó era el dueño. Búscala en el registro.

Un control compensatorio que existe solo en el papel no reduce nada. «Filtro de salida pendiente de montar» es una intención, no un control. La columna control_verificado registra si alguien comprobó que el control funciona, y sin ese «si» la aceptación no cumple la tercera regla de la política.

Revisa la columna en registro.csv.

La aceptación A-03 venció el 29 de agosto. Pasado ese día, el hallazgo vuelve a la cola con su prioridad real, y el dueño tiene tres caminos: corregirlo, renovar la aceptación con evidencia nueva o aceptar que el equipo quede expuesto formalmente. Lo que no se hace es dejar que una fecha pasada siga figurando como protección.

Una aceptación vencida que se sigue contando como cubierta infla la tabla de riesgo aceptado y esconde exposición real.