Hallazgos cruzados y priorización

Una no conformidad, una desviación y un requisito no conforme son tres nombres de severidad de tres marcos para cosas que a menudo comparten origen: si la baja de accesos falla, ISO lo ve como una cuenta activa, SOC 2 como un plazo incumplido y PCI DSS como acceso indebido al entorno de tarjetas. Si se remedia por marco, el mismo arreglo se planifica tres veces. Si se remedia por causa, se planifica una vez y cierra varios hallazgos.

Las severidades de los marcos no se mezclan ni se convierten entre sí: se conservan como vienen y se agrupan por la causa.

Abre hallazgos/hallazgos.txt. La última columna dice a qué causa pertenece cada uno de los trece hallazgos. El trabajo real no se mide por el número de hallazgos sino por el de causas distintas.

Contar hallazgos por causa muestra dónde se concentra la señal. No siempre indica qué se remedia primero, pero sí dónde el problema se ve desde más ángulos.

Cuenta cuántos hallazgos tiene cada causa y fíjate en la mayor.

El comité de auditoría fijó un criterio de prioridad y está en hallazgos/criterio-de-prioridad.txt: da puntos por cada auditor distinto que reporta la causa, por tocar el entorno de tarjetas y por tener el plazo comprometido vencido. Un auditor que reporta dos hallazgos de la misma causa cuenta una sola vez.

Los datos de cada causa están en hallazgos/causas.txt y los auditores de cada hallazgo, en hallazgos/hallazgos.txt. Calcula el puntaje de la causa de la retención de registros.

Calcula el puntaje de las demás causas con el mismo criterio. La causa con más hallazgos no es necesariamente la que gana: el criterio premia la cantidad de auditores distintos, el contacto con el entorno de tarjetas y el plazo vencido, y esas tres cosas no siempre coinciden.