Métricas para el comité y su lectura honesta

Un buen indicador de gestión de vulnerabilidades dice qué cuenta, sobre qué universo y desde cuándo. Cuando una cifra mejora, la lectura honesta se hace en tres preguntas. ¿Cambió el denominador (el inventario o el alcance del escáner)? ¿Cambió la definición (qué se considera abierto, vencido o crítico, o cuándo empieza el plazo)? ¿Cambió el universo de lo que se mide, de modo que lo difícil quedó fuera?

Una mejora real viene de corregir más y más rápido. Una mejora aparente viene de contar de otra manera. Las dos se ven igual en un gráfico de barras, y por eso el comité merece ver, junto al número, la definición vigente y los cambios que hubo.

El tablero de Peñalisa muestra que el cumplimiento del plazo subió de 78 a 91 por ciento entre dos trimestres. El área de seguridad lleva un registro de cambios en las definiciones. Cuando el plazo de un hallazgo empieza más tarde (no el día de la detección sino el día en que alguien lo acepta), se vence menos, aunque no se corrija nada más rápido.

Busca en el registro qué cambio de definición afecta al inicio del plazo y en qué trimestre se aplicó.

El tablero no muestra la cobertura, y la tabla que sí la tiene cuenta otra historia. El inventario creció de 400 a 420 activos, pero los activos escaneados bajaron de 380 a 315. Si menos activos se revisan, hay menos hallazgos que contar, y los «críticos abiertos» bajan sin que nada se haya corregido.

Calcula la cobertura real del último trimestre: activos escaneados sobre activos del inventario, como porcentaje entero.

El cambio de definición del segundo trimestre sacó del conteo de abiertos a los hallazgos con una excepción vigente. Es defendible: están gestionados, tienen compensatorio y fecha. Pero el comité debe saber cuántos son, porque siguen siendo riesgo. La tabla de excepciones vigentes lo cuenta: en el último trimestre hubo muchas más que en el primero.

El tablero dice 190 críticas y altas abiertas. Calcula cuántas habría si se contaran también las que tienen una excepción vigente.

Con los tres hallazgos de esta sala (el plazo que se mueve, la cobertura que cae y las excepciones que salen del conteo), la tentación del área responsable es presentar los tres indicadores tal como están: la tendencia es buena y el trimestre fue duro.

Un informe honesto no esconde el avance real ni exagera el problema: muestra las cifras con su definición vigente, al lado las de la definición anterior para que se puedan comparar y la lista de cambios de método con su aprobación. Así el comité decide con la misma información que tiene el área.