Métricas de calidad de los análisis

Contar hallazgos premia a la herramienta que más grita. Para saber si un análisis es útil se mira la precisión del triaje: de lo que la herramienta reportó, cuánto se confirmó. Una precisión baja significa que el equipo gasta la mayor parte de su tiempo descartando ruido, y eso gasta su confianza en el informe.

Esa cifra sirve para decidir si afinar las reglas, excluir carpetas de pruebas o cambiar de configuración, no para castigar a nadie.

La precisión es confirmados ÷ reportados, expresada en porcentaje. Se calcula por técnica y por periodo, porque una herramienta estática y una dinámica no se comparan entre sí con una sola cifra. Los falsos positivos y los hallazgos sin alcance no suman a los confirmados.

Calcula la precisión de la técnica estática en septiembre. Redondea al número entero.

Un análisis dinámico solo puede juzgar las direcciones que visitó. Si visitó la mitad del inventario, el informe cubre la mitad, y los hallazgos que faltan no son «cero»: son «no vistos». La cobertura es lo visitado dividido entre lo que existe en el inventario.

Calcula la cobertura dinámica de septiembre como porcentaje de las direcciones del inventario.

Mirar la serie en el tiempo ayuda a ubicar causas. Un mes con muchos falsos positivos suele coincidir con una regla nueva sin afinar, una carpeta de pruebas que entró al análisis o un cambio de versión de la herramienta. El dato apunta el mes; quién lo causó se averigua con las notas del equipo.

Mira la técnica estática y busca el mes con más falsos positivos.

La tasa de reaparición mide cuántos hallazgos cerrados como corregidos vuelven a aparecer. Si es alta, el problema no está en la herramienta sino en la corrección: se arregló un síntoma y no la causa, o la corrección se perdió en una fusión. Es un indicador que se le entrega al equipo, junto con los tiempos de cada etapa.

Con 6 reapariciones sobre 40 cerrados, la tasa es de 15 %.