Métricas de fricción, cuándo la seguridad frena

La mayoría de las métricas de seguridad cuentan lo que el control encuentra: hallazgos, bloqueos, tiempo de corrección. Las de fricción miden lo que cuesta pasar por el control: minutos que añade a la cadena, porcentaje de bloqueos que resultaron no aplicar (falsos positivos), horas hasta poder desplegar de nuevo y cuántas veces el equipo usó un atajo oficial para saltarse el control.

El atajo es el síntoma. Cuando muchas construcciones se omiten con una etiqueta, no es necesariamente que el equipo sea indisciplinado: casi siempre le sale más barato omitir que pasar. La fricción alta no se resuelve con castigos, se resuelve haciendo el control más barato de cumplir.

El número absoluto de omisiones engaña igual que el de hallazgos: un equipo grande acumulará más aunque omita menos en proporción. Se compara por cada cien construcciones. Y la comparación importa porque dice dónde la fricción es peor, que no es necesariamente donde hay más volumen.

Abre friccion/trimestre.txt y calcula, por equipo, cuántas construcciones se omitieron por cada cien.

La proporción de falsos positivos es la medida de ruido del control. Un bloqueo que resultó no aplicar es un coste puro: el equipo perdió tiempo, el equipo de seguridad perdió credibilidad y todos aprendieron que el control puede ignorarse. Con más de la mitad de bloqueos falsos, el control empieza a entrenar al equipo para esquivarlo.

En friccion/trimestre.txt suma los bloqueos de todos los equipos y los que fueron falsos positivos. Redondea al entero más cercano.

El tiempo que tarda un equipo en volver a desplegar tras un bloqueo se resume con la mediana, no con el promedio. Unos pocos casos de varios días arrastran el promedio hacia arriba y ocultan que la mayoría se resuelve rápido, o al revés. La mediana es el valor de en medio de la lista ordenada y se parece más a lo que vive una persona típica del equipo.

La muestra de Emisión está en friccion/desbloqueos-emision.txt, una cifra por línea, en horas.

La encuesta anónima (friccion/encuesta.txt) cuenta lo que las cifras no dicen: en Emisión la cadena tarda más de media hora y casi todo lo que bloquea ya estaba revisado; en Datos, preguntar a seguridad por un bloqueo que no aplica toma días y poner la etiqueta es más rápido. La combinación de cadena lenta, ruido y respuesta tardía explica el atajo mejor que cualquier teoría sobre disciplina.

Con las cifras y los comentarios a la vista, decide qué proponer.