Triaje con desarrollo

Desarrollo lee una ficha si responde a sus preguntas sin que haya que escribirte: qué es, dónde está, cómo lo viste, a quién afecta, qué se espera y cómo se comprobará. Si falta la evidencia, el equipo la pide y pierde días. Si falta lo que se espera, cada persona corrige a su manera. Si falta cómo se comprueba, nadie sabe cuándo cerrarla.

La ficha dice qué se pide, no el código que se debe escribir. El equipo conoce su aplicación y elegirá la corrección. Tú fijas el criterio de cierre: por ejemplo, que la próxima ejecución del análisis deje de mostrar el hallazgo.

Un hallazgo sin dueño no se corrige. El dueño sale del servicio, no de quien por casualidad abrió el archivo. La tabla de dueños relaciona cada servicio con su equipo y con el canal por el que se les escribe. Lo normal es que un hallazgo de una dirección y uno de un archivo del mismo servicio lleguen al mismo equipo.

Mira la cola, busca el servicio de DA-204 y encuentra su equipo en la tabla de dueños.

Cuando el análisis estático y el dinámico ven el mismo defecto, la cola trae dos entradas con una sola causa raíz. Abrir dos tickets duplica trabajo y confunde al equipo. La regla es: un ticket por causa raíz, con las dos evidencias dentro. Las entradas sin alcance no abren ticket: se cierran con su evidencia anotada.

La tabla causas asigna a cada entrada su causa raíz. La causa C-0 es la de lo que no abre ticket.

La severidad de la herramienta no fija el plazo. Lo fija la severidad en contexto: la que sale de mirar si el servicio está expuesto a internet y si maneja datos personales. En este programa la política da un plazo según esa severidad. Un hallazgo medio de la herramienta puede ser alto en contexto, y a la inversa.

Busca la severidad en contexto de la causa C-1 y, con ella, el plazo que le da la política.

Es normal que el equipo responda «eso no se explota» o «es código de pruebas». A veces tienen razón. La respuesta profesional no es insistir ni ceder: es pedir o aportar evidencia que se pueda comprobar, como la prueba unitaria o la configuración del despliegue, y anotar quién decidió qué y por qué.

Un hallazgo cerrado por una frase suelta reaparece en el siguiente análisis y en la siguiente auditoría, sin que nadie recuerde la razón.