Responsabilidad compartida entre equipos

Cuando un hallazgo vive en una capa de la imagen base, el equipo de la aplicación no puede resolverlo editando su código: el paquete no es suyo. Quien corrige es el equipo que mantiene la base, publicando una imagen nueva. Después, cada equipo de aplicación tiene que reconstruir la suya sobre la base nueva, o no recibirá el arreglo.

Son dos pasos con dos dueños, y los dos deben quedar escritos en el ticket. Un ticket que solo pide «parchea» al equipo de la aplicación se queda sin hacer.

Una base compartida concentra el esfuerzo: corregir una vez y reconstruir muchas. También concentra el riesgo, porque un fallo en ella aparece en todas las imágenes que la heredan, y el escáner lo informa por separado en cada una. Es la razón por la que veinte hallazgos iguales en veinte imágenes son un solo trabajo, no veinte.

Cuenta cuántas imágenes de Avellana dependen de la base de Java.

El tablero de hallazgos abiertos trae dos columnas: a quién llegó el ticket y quién puede de verdad aplicar la corrección. Cuando no coinciden, el hallazgo no avanza: el equipo asignado lo mira, ve que no es suyo y lo devuelve, o peor, lo ignora. Un buen analista revisa esa coincidencia antes de dar el ticket por bien emitido.

Mira el tablero y encuentra el que está asignado a quien no puede arreglarlo.

Una imagen de un proveedor no se puede abrir ni reconstruir: no tienes su código. Tu herramienta es pedir. Se le pide un aviso formal de qué hay dentro de la imagen y una declaración de si el fallo le afecta, con el estado que el formato de intercambio de explotabilidad permite: no afectado con una justificación, afectado, corregido o en investigación.

Mientras el proveedor responde, el hallazgo sigue abierto, con su plazo, y se compensa por fuera si hace falta: restringir qué alcanza el servicio, por ejemplo. Lo que no se hace es cerrarlo por falta de respuesta.

Los plazos se fijan por severidad y se cuentan desde que se abre el hallazgo. Un hallazgo fuera de plazo no es un reproche a nadie: es la señal de que algo se atascó, y el analista debe decir en el siguiente seguimiento qué lo detuvo. La cifra honesta no es cuántos hay abiertos, sino cuántos están pasados del plazo que la propia empresa se dio.

Cruza los días abiertos de cada hallazgo con el plazo de su severidad y cuenta los vencidos.