Tiempo de corrección y cobertura de pruebas

El tiempo de corrección es el tiempo entre que se abre un hallazgo y se cierra. Con pocos datos, un solo caso lento mueve el promedio mucho más de lo que representa al equipo: una corrección que tardó siete semanas por una dependencia externa arrastra la media de todas hacia arriba. La mediana (el valor del medio al ordenar los tiempos) no se deja arrastrar y dice cuánto tarda lo habitual.

Eso no significa esconder el caso lento: es una señal distinta. La práctica es publicar la mediana como cifra principal y listar aparte los cierres que superaron el plazo, cada uno con su causa.

Para calcular los días de cada cierre se resta la fecha de apertura de la de cierre. Con los nueve tiempos se ordenan de menor a mayor y se toma el valor que queda en el medio: con una cantidad impar de datos, es el que ocupa el lugar central; con una cantidad par, se promedian los dos del centro.

Lo que se calcula son días corridos, y para todos los cierres de este trimestre cada mes tiene su número de días: hay que cuidar el cambio de mes al restar.

Un cierre lento tiene siempre una historia: una dependencia sin versión corregida, una prueba que nadie quería hacer, una dueña de vacaciones. Identificarlo es el primer paso para preguntar qué pasó, no para culpar. A veces la causa es un fallo del propio proceso (una tarea que se asignó a nadie) y entonces corregirlo mejora la cifra mucho más que pedirle al equipo ir más rápido.

Compara los días de cada cierre y localiza el que se aleja del resto.

La cobertura de pruebas de seguridad responde a «qué parte de lo que tenemos está bajo cada control». Se calcula por control: los repositorios que lo tienen entre el total, por cien. Un número global («tenemos escáneres») esconde que un repositorio puede tener secretos y análisis y no tener imagen. Y también esconde lo contrario: que la cobertura es alta porque los repositorios fáciles están cubiertos y los difíciles no.

La tabla de Cardamomo lista ocho repositorios con sus cuatro controles. Calcula el porcentaje de repositorios que tienen la imagen escaneada.

No todos los huecos pesan igual. Un repositorio interno sin escáner es una deuda; un repositorio expuesto a internet sin escáner es una puerta abierta sin nadie mirando. Por eso, además del porcentaje por control, se lee la cobertura por riesgo: se cruzan los huecos con la exposición y el primer plan de cobertura va a donde coinciden las dos cosas. Es la diferencia entre llenar casillas y reducir el riesgo.

Cruza la columna de exposición con los controles que faltan.