Excepciones documentadas

Una excepción documentada responde a seis preguntas: qué control se exceptúa, a qué alcance (qué namespace, nodos o componente), quién es el dueño, por qué, qué medida compensa el riesgo mientras dura y hasta cuándo vale. Sin fecha de vencimiento, la excepción se vuelve permanente por inercia; sin dueño, nadie la revisa; sin compensación, es solo un permiso.

Hay además una trampa de alcance. En el control de admisión de seguridad de pods, un namespace listado en exemptions queda fuera por completo de la evaluación: no se aplican ni el modo de exigencia ni los de aviso y auditoría, para ninguno de los controles. Exceptuar un namespace por un solo motivo lo exceptúa de todo.

Una excepción con fecha de vencimiento pasada y estado «vigente» es peor que una sin documentar: parece controlada y nadie la está mirando. El registro se lee con la fecha de la revisión en la mano, fila por fila.

Abre el registro de excepciones y compara cada fecha de vencimiento con la fecha de la revisión.

El tiempo de vencimiento importa al priorizar: una excepción vencida ayer se renueva con una conversación; una vencida hace semanas obliga a preguntarse qué cambió en el riesgo durante todo ese tiempo y si alguien llegó a depender de ella. La cifra se calcula contra la fecha de la revisión, no contra la del día en que se lee.

Calcula los días entre el vencimiento de esa excepción y la fecha de la revisión.

El registro dice lo que la empresa cree que está exceptuado; el archivo de configuración del control de admisión dice lo que de verdad lo está. Las dos listas deben coincidir. Una exención que está en la configuración y no en el registro no tiene dueño, ni compensación, ni vencimiento: nadie la recordará cuando deba retirarse.

Cruza los namespaces de la lista de exenciones con los alcances del registro.

Los dos hallazgos piden respuestas distintas. A la excepción vencida se le pide una decisión: o se renueva con una justificación nueva y una fecha, o se cierra y se corrige la carga. A la exención sin registro se le pide verdad: o se documenta con dueño y compensación, o se retira. En ningún caso se borra del registro la fila vencida para que el informe quede limpio.