Redactar el hallazgo y la recomendación

Un hallazgo completo contesta seis cosas. Título, que dice qué y dónde en una línea. Evidencia, con el archivo, la línea o el registro que lo demuestra, para que otra persona lo encuentre sin ayuda. Riesgo, la consecuencia en términos de quién pierde qué. Severidad, la que sale de la rúbrica. Recomendación, una acción concreta. Y verificación, cómo se comprueba después de corregir que el fallo ya no está.

Un hallazgo sin evidencia es una opinión; uno sin verificación no se puede cerrar. La recomendación vaga («usar cifrado fuerte») obliga al equipo a adivinar, y adivinar tarde o temprano sale mal.

Abre borradores.txt y compara los cuatro con esa lista.

La evidencia es lo que permite que el equipo reproduzca tu lectura y que un tercero la valide. Debe ser localizable: un archivo y una línea, un registro del inventario, una fila de una exportación. «Se observó cifrado débil» no cita nada y no se puede discutir ni cerrar.

Recorre los cuatro borradores y fíjate en la línea de evidencia de cada uno.

El informe circula: lo leen la dirección, el equipo técnico, a veces proveedores o auditores externos. Si en la evidencia se copia el valor completo de una clave o una credencial, el informe pasa a ser un nuevo lugar donde ese secreto vive, y de un documento se copian valores con mucha más facilidad que de un repositorio.

La evidencia se cita por ubicación («archivo, línea, qué es») y, si hace falta mostrar la forma del valor, se enmascara. Mira la evidencia de cada borrador y busca el que reproduce el valor entero. En estos borradores los secretos son marcadores ficticios.

Un hallazgo describe un sistema, un código o un proceso. Cuando el título culpa a una persona, el equipo se pone a la defensiva y el informe pierde utilidad: ya no se habla de cómo se corrige sino de quién tuvo la culpa. Además, casi siempre el fallo es del proceso, que permitió que ese código llegara hasta ahí sin una revisión que lo parara.

El título correcto nombra el uso y el lugar, y la recomendación apunta al componente y a los controles que faltan.

Muchas vacantes del sector piden redactar o leer informes en inglés técnico, y un hallazgo se escribe igual que en español: una acción concreta, sobre un componente, con la forma de comprobarla. Las recomendaciones del tipo «mejorar» o «considerar» no obligan a nada.

Elige la redacción en inglés de la recomendación para el hallazgo de la firma de token comparada con ==, que es el que figura en el borrador B-4.