Revisión de código y de dependencias como control

Una revisión de código es un control cuando es independiente (la hace alguien distinto del autor), real (deja constancia de que hubo lectura) y comprobable (el registro permite reconstruirla). Una firma sin lectura cumple el trámite y no reduce el riesgo.

El auditor no lee el código: lee el registro de la revisión. Quién aprobó, cuántas líneas cambiaron y cuánto tiempo hubo de revisión dicen si el control se ejerció o solo se firmó.

La política de Ceibalito dice que todo cambio que llega a producción lo aprueba una persona distinta de su autor. El cruce es sencillo: comparar, fila a fila, la columna autor con la columna aprobador.

Abre politica_de_revision y solicitudes_de_cambio.

La política añade una regla de revisión real: un cambio de más de 200 líneas no se aprueba con menos de 10 minutos de revisión registrada. Nadie lee 300 líneas en un minuto. El hallazgo no dice que el cambio sea malo; dice que el control no se ejerció.

Combina lineas_cambiadas y minutos_de_revision.

El software moderno es en gran parte código de terceros. El control sobre ese código consiste en tener un inventario, seguir los avisos y actuar dentro de un plazo. La política fija quince días para los avisos de severidad Crítica: se corrigen o se acepta el riesgo por escrito.

Cuenta en dependencias las críticas que siguen abiertas (ni corregidas ni aceptadas por escrito) y que llevan más de 15 días.

Cuatro dependencias críticas fuera de plazo no son un delito: son una cola sin dueño. Lo que importa es que cada una termine en una de dos salidas con rastro: corregida o aceptada por escrito por alguien con autoridad para aceptar el riesgo, con una fecha de revisión.