Informe de postura: falsos positivos y prioridad

El puntaje de postura es un porcentaje: cuántas de las reglas que la herramienta evalúa se cumplen. No pondera lo que cada regla protege, así que un fallo en una base de datos con datos de clientes pesa lo mismo que una etiqueta que falta en un servidor de demostración. Dos nubes con el mismo puntaje pueden tener riesgos muy distintos.

El puntaje sirve para ver la tendencia mes a mes; para decidir qué corregir primero hace falta el contexto.

Un falso positivo es un hallazgo que la herramienta marca y que, con el contexto, no es una desviación: aquí, el que cuenta con una excepción aprobada y vigente al corte. Una excepción vencida ya no protege al hallazgo. Cruza hallazgos_de_postura con excepciones_aprobadas y compara la fecha límite con el 30 de junio de 2027.

El comité fijó su criterio: primero lo que está en producción, expuesto a internet y con datos restringidos. Esos tres datos están en contexto_de_recursos, no en el informe. Y la severidad de la herramienta puede apuntar a otro lado: lo que ella llama Alta puede ser un almacén de fotos, y lo que llama Media, una base de datos de clientes.

Antes de presentar la lista al comité se depura: se quitan los hallazgos cerrados y los que tienen una excepción vigente. Lo que queda es la lista de trabajo real. La cifra es una resta: hallazgos abiertos menos los que tienen excepción vigente al corte.

Un almacén de fotos de producto tiene la misma regla que el sitio estático, pero su excepción venció el 31 de marzo de 2027. No es un falso positivo ni una emergencia: es un compromiso que caducó y que nadie renovó ni cerró. La gestión correcta es devolverlo al dueño para decidir.