Mitigaciones temporales y su evidencia

Una mitigación temporal reduce el riesgo sin eliminarlo, así que solo es aceptable si tiene cuatro cosas: quién la aplicó, cuándo, hasta cuándo vale y qué prueba que está en efecto. La evidencia es la que convierte «lo apliqué» en «está aplicado»: un fragmento de configuración, la salida de una consulta o el informe de la regla. Sin vencimiento, además, la mitigación se vuelve permanente por inercia.

El registro de mitigaciones tiene una columna de evidencia. Una fila con la columna vacía (aquí marcada con un guion) es una mitigación declarada que nadie puede comprobar. No quiere decir que no esté aplicada; quiere decir que no sabes si lo está.

Abre mitigaciones/registro.csv.

La política de Almirez fija una fecha de corte para revisar el registro. Una mitigación cuyo vencimiento quedó antes de esa fecha y que sigue sin corrección es una excepción vencida: o se renueva con aprobación de seguridad o se escala. Dejarla correr en silencio es justo lo que la política prohíbe.

Lee la fecha de corte en mitigaciones/notas/politica-de-mitigacion.txt y compárala con la columna de vencimiento del registro.

El registro es lo que alguien escribió; la captura es lo que había en el archivo. Cuando los dos no coinciden, manda la captura, porque es lo más cercano a la realidad que se puede leer. El caso típico es la opción que se puso en el archivo de pruebas, se perdió en un despliegue o se aplicó al servicio equivocado.

Compara cada fila del registro con el valor de mitigaciones/evidencia/configuraciones.txt. La opción de mitigación del aviso dice qué valor debe tener.

Descubres que la mitigación de una aplicación figura como aplicada y su configuración no lo muestra. La aplicación es interna, pero maneja datos de empleados. No sabes todavía si el valor se perdió, si es otro entorno o si la captura es antigua. Lo prudente es no aceptar la afirmación y no culpar sin datos.