Informe y traspaso

Un comité lee la primera página y decide con ella. Lo que va primero tiene que ser lo que decide: qué está listo, qué no, y qué se le pide. Un informe que empieza por la metodología hace que la conclusión llegue a la última hoja, cuando ya cansó a quien la leía. Las cifras van con su definición al lado, porque «cobertura» sin definición se interpreta como se prefiera.

«Lista» tiene una definición: ficha completa, pruebas que cumplen el criterio y sombra superada, las tres a la vez. La cifra no sale de lo que se escribió, sale de lo que pasó los tres controles. Contar mal esta cifra es lo que más cuesta en credibilidad: si el comité encuentra una detección que el informe llama lista y no tiene runbook, deja de creer el resto.

Abre estado_del_paquete y cuenta las filas que dicen «sí» en las tres columnas.

Un hueco sin fecha y sin responsable es una intención. El traspaso exige las dos cosas, y que el responsable sea un equipo que existe, no «por definir». Cuando el responsable no es la ingeniería de detección sino el dueño de la fuente, el compromiso es de ese equipo y el informe lo dice con su nombre.

Mira huecos_declarados: hay un hueco que no depende de escribir una detección sino de arreglar una fuente.

El traspaso incluye el calendario: cada detección tiene una fecha en que alguien vuelve a mirarla, y la persona que hereda el paquete debe saber por cuál empezar. Las fechas más próximas suelen ser las de las piezas con una condición pendiente, no las de las que están bien.

Mira calendario_de_revision y ordena por fecha.

Hay cifras que el paquete no puede prometer y que un comité querrá oír: cero falsos negativos, cobertura total de una técnica, ausencia de alertas en el próximo mes. Una detección prueba que ve lo que sus casos describen, y la sombra mide lo que ya ocurrió; ninguna dice que no ocurra algo distinto. Quien promete lo que no puede medir pierde la confianza el día del primer incidente que el paquete no vio.