Las entrevistas, leídas con la evidencia

Una entrevista recoge lo que una persona recuerda y quiere decir en ese momento. Un registro del sistema recoge lo que ocurrió. Las dos cosas valen, pero no valen lo mismo para probar un hecho: lo dicho se anota como declaración y se contrasta, y lo registrado se usa para contrastarla.

Eso no vuelve sospechosa a la persona entrevistada. Casi siempre recuerda lo que la regla dice que debería pasar, no lo que pasó una noche concreta.

El registro de despliegues dice quién ejecutó cada uno y de dónde salió: de la cadena o de una persona. Contrastarlo con lo dicho en las entrevistas es una lectura de columna: las filas cuyo origen no es la cadena son las que importan, y el nombre de quien las ejecutó es el dato.

No se trata de buscar un culpable. Se trata de saber qué cuenta tiene hoy la capacidad de saltarse la cadena y por qué la usó.

Un número dicho en voz alta («son tres») es una afirmación que se puede contar en una lista. Aquí la lista es la de cuentas con permiso de administrar repositorios y cadena, que mezcla personas y cuentas de servicio y otros permisos más bajos. Solo los que administran entran en la cuenta.

Contar con cuidado evita dos errores: sumar de más cuentas que solo leen o escriben, y olvidar las de servicio, que también administran.

«Cada noventa días» es una regla; el registro de rotación dice cuándo ocurrió la última. La diferencia entre las dos es una resta de fechas, y es el tipo de cálculo que una auditoría repite delante de ti. Conviene tenerlo hecho antes y comprobarlo con la fecha de corte de los datos, no con la de hoy en tu reloj.

El cálculo se hace con la última rotación de la clave que se nombra en la entrevista, no con la de otra credencial.

Dos entrevistados han dicho cosas que el registro no sostiene del todo. La tentación es arreglar el desajuste: pedir que alguien «aclare» una entrevista o que se ajuste una exportación. Las dos cosas empeoran el caso, porque una evidencia alterada deja de ser evidencia y rompe la confianza en todo lo demás que entregues.

Lo que sí se puede hacer es explicar: entregar el registro tal cual y añadir, si hace falta, una nota firmada que aclare el contexto de lo que se dijo.