Lo que no es y lo que no se parchea

Hay dos razones para no abrir un ticket de parche, y no se parecen. Un falso positivo es un hallazgo que, al comprobarlo, no existe en ese equipo. Una excepción es un hallazgo real que no se va a corregir ahora, y por eso se acepta por escrito con condiciones. Confundirlas deja riesgo real sin dueño o llena el registro de excepciones con ruido.

De los tres hallazgos de gravedad alta, uno se detectó leyendo lo que el servidor dice de sí mismo, que puede no coincidir con lo que tiene instalado. Los otros dos se detectaron leyendo la configuración y el paquete del equipo. Lo confirmas sin probar nada contra el servicio: con lo que el escáner autenticado dejó escrito.

La política dice qué lleva una solicitud para poder aprobarse. Se lee solicitud por solicitud contra esa lista, sin dejarse llevar por la razón de negocio, que casi siempre es cierta pero no basta.

La vigencia de una excepción se cuenta desde la fecha de aprobación, con el plazo máximo que fija la política. No es la fecha de la solicitud ni la del hallazgo. Cuenta los días naturales, mes a mes.

Un control compensatorio reduce de verdad la posibilidad de que el fallo se use, y se puede comprobar. Una promesa, un aviso o un compromiso del dueño no reducen nada. La solicitud de la impresora cita un control: hay que leerlo en las reglas del cortafuegos y no fiarse de la palabra «control».