El informe técnico y el resumen ejecutivo

El resumen ejecutivo cabe en una página y abre con la conclusión: cómo está el uso de la criptografía, cuál es el riesgo en términos de negocio, qué decisiones se piden y con qué plazo. Evita la jerga, nombra lo que está bien y dice lo que no se pudo revisar.

El informe técnico es el registro completo. Cada hallazgo lleva su evidencia, su severidad con la rúbrica, su recomendación y su verificación, más el método, el alcance y los anexos. Es el documento que el equipo abre para corregir.

Ninguno sustituye al otro: lo que está en el resumen debe poder encontrarse, con las mismas cifras, en el técnico.

El borrador del resumen ejecutivo dice cuántos hallazgos encontró la revisión. El registro es la fuente: lo que el resumen afirme tiene que poder leerse allí con el mismo número. Si no coincide, hay un error en uno de los dos, y un lector atento lo detecta enseguida y desconfía del resto.

Compara el recuento del borrador con el total que da el registro.

Un resumen ejecutivo que lista los hallazgos críticos tiene que listarlos todos. Omitir uno, aunque sea por brevedad, deja a la dirección sin una decisión que le toca tomar. Los críticos se leen en la columna de severidad del registro.

Cruza los críticos del registro con los que nombra el borrador.

Todo informe tiene límites: lo que quedó fuera de alcance, lo que no se pudo ver, lo que se asumió. Callarlos es peor que declararlos, porque el lector entiende «sin hallazgos» como «seguro». Una sección de alcance y limitaciones dice qué cubre la conclusión y qué no.

El registro cierra con dos líneas que importan: lo que se vio bien y lo que no se revisó. Ambas deben aparecer en el informe.

El informe no termina cuando se entrega: termina cuando se comprueba que lo corregido está corregido. La recomendación de cada hallazgo incluye su forma de verificar, y el informe propone una reverificación con fecha, por lo general posterior al plazo de remediación de los críticos.

También sirve para mantener la honestidad. Si el equipo declara que algo está arreglado, la reverificación lo contrasta con la misma evidencia que se usó al principio.