Sala integradora, la operación adquirida y la plataforma dividida

Un inventario inicial de repositorios heredados se lee con tres preguntas a la vez: quién puede verlo, quién responde por él y si lo que contiene llega a producción. Un repositorio público sin dueño que llega a producción es la combinación más urgente: cualquiera puede leerlo, nadie lo mantiene y se despliega. Los que tienen solo una de las tres condiciones se atienden después.

Las credenciales heredadas se rotan, no se heredan: no se sabe quién las vio. La política del equipo fija el umbral en 365 días desde la última rotación registrada. Se cuenta por fechas de calendario hasta hoy; una credencial rotada hace menos de un año queda fuera aunque su fecha parezca antigua.

Al dividir una base compartida cada tabla debe quedar con un servicio dueño, y los demás la leen a través de él. Una tabla en la que escribe un servicio que no es su dueño es una dependencia oculta: dos equipos cambiando los mismos datos sin un contrato entre ellos. Se cruzan los permisos de escritura con el dueño declarado de cada tabla.

Un informe de postura entrega las señales por separado, y el riesgo está en su combinación: un recurso alcanzable desde internet, con una identidad que puede escribir con un permiso ancho y con datos personales dentro. Cada señal sola es frecuente; las tres juntas marcan por dónde se empieza, mucho antes que un hallazgo aislado de severidad alta.

Un plan con dependencias solo es ejecutable si cada acción se programa después de aquella de la que depende. Una acción adelantada a su dependencia no se puede hacer en la semana prevista, y suele ocultar que la acción de la que cuelga está mal programada. Se compara la semana de cada acción con la semana de su dependencia.