Lecciones y cambios de proceso

Una retrospectiva sin culpables describe el sistema, no a las personas: el aviso llegó por un canal informal, no por una persona que lo ignoró. Eso cambia el tipo de acción: en lugar de «recordar a los equipos que estén atentos», se propone un cambio que funcione aunque nadie recuerde nada, como una suscripción a los avisos del fabricante o un paso automático en la compilación.

Antes de proponer acciones conviene mirar dónde se fue el tiempo. Los números de una fase no dicen por sí solos si fue lenta por falta de herramientas, de decisión o de gente; sirven para decidir dónde investigar. Una fase corta con un costo alto de errores también merece mirada, pero la más larga suele ser la primera.

Abre retrospectiva/tiempos.csv. Entre las fases de detección y de recuento de dónde está el componente, que son las que ocurren antes de poder mitigar, una consumió mucho más tiempo que la otra.

La medida que más se parece a la capacidad de respuesta de una empresa es el tiempo desde que se publica el aviso hasta que se sabe qué aplicaciones lo contienen. Sumando las fases previas a la mitigación se obtiene una cifra que se puede comparar entre avisos y entre años.

Una acción sin responsable no se hace: nadie la reclama y nadie rinde cuentas. En una lista de acciones, la ausencia de dueño se ve de un vistazo, pero es fácil dejarla pasar en la reunión porque todos asumen que alguien la tomará.

Lee retrospectiva/acciones.csv.

Cada acción lleva una medida. La mala medida cuenta actividad («se hizo la reunión», «se mandó el correo»); la buena cuenta resultado y se puede comparar en el próximo aviso: porcentaje de aplicaciones con SBOM, tiempo hasta el primer inventario, instancias verificadas.