Cómo documentar un hallazgo profesional

Todo informe profesional de seguridad tiene dos audiencias con necesidades opuestas: 1) La dirección y el comité de riesgos, que necesitan entender el impacto en el negocio en dos párrafos sencillos (riesgo reputacional, pérdida económica, sanciones legales). 2) El equipo técnico de desarrollo y operaciones, que necesita detalles quirúrgicos: la URL afectada, los parámetros vulnerables, la prueba de concepto paso a paso y el parche recomendado.

Una ficha de vulnerabilidad estándar consta de cinco bloques indispensables: 1) Título descriptivo ('Inyección SQL en endpoint de autenticación de clientes'). 2) Severidad con puntuación estándar (CVSS v3.1 / v4.0). 3) Descripción del problema y activo afectado. 4) Pasos de reproducción detallados (Proof of Concept) con capturas o peticiones HTTP completas. 5) Recomendación de remediación con ejemplos de código seguro.

El Common Vulnerability Scoring System (CVSS) proporciona una escala numérica de 0.0 a 10.0 para evaluar la severidad técnica de un fallo. Evalúa métricas objetivas: vector de ataque (si es explotable por red o requiere acceso físico), complejidad del ataque, privilegios requeridos, interacción del usuario y el impacto en Confidencialidad, Integridad y Disponibilidad. Usar CVSS evita debates subjetivos sobre si un fallo es 'grave' o 'leve'.

El mayor error de un auditor junior es recomendar soluciones inviables como «rehagan todo el sistema desde cero en otro lenguaje». Una recomendación profesional es constructiva, respetuosa con el trabajo ajeno y accionable: propone el parche específico para la versión actual, sugiere controles compensatorios si la solución de fondo requiere tiempo, y ofrece referencias a las guías oficiales de mitigación (OWASP Cheat Sheet Series).