Activos que importan al negocio

Un activo es algo que la organización pierde: datos, una capacidad de operar, una obligación legal que deja de cumplirse. El impacto de perderlo no lo decide quien hace la prueba, lo decide quien responde por él, y se escribe en términos de negocio: una multa, una mercancía detenida, una conversación con el regulador, un cliente que se va.

Esa separación evita el error más caro del oficio: confundir dificultad técnica con importancia. Un fallo vistoso en un servicio que solo publica horarios ya públicos vale menos que una fuga discreta de un archivo con obligaciones legales detrás. El evaluador aporta el camino y la demostración; el dueño aporta cuánto duele.

En la práctica el inventario llega con la columna de impacto ya rellena por cada área. El trabajo del evaluador no es discutirla, sino usarla para repartir sus horas y pedir explicación donde una cifra no cuadre con lo que ve.

Cruzar el inventario con el diagrama tiene un propósito concreto: encontrar activos que el negocio considera importantes y que ninguna flecha del diagrama mueve. Hay dos explicaciones posibles, y las dos interesan.

La primera: el diagrama está incompleto y existe un camino que nadie dibujó —una carga manual, un trabajo programado, una consola de soporte—. La segunda: el activo está guardado en un almacén al que se llega por fuera de la plataforma, y entonces el alcance del encargo quizá no cubre lo que más duele perder. Ninguna de las dos se resuelve en soledad: las dos se llevan a la reunión con el cliente antes de fijar las horas.

Abre el laboratorio y busca el activo que ningún flujo toca.

Cuando llega el momento de explicar el plan, una frase del tipo «vamos a mirar la interfaz a fondo» no sostiene nada. Lo que sostiene es una cifra sacada del propio inventario del cliente: cuántos de sus activos están clasificados en el nivel que obliga a cuidarlos, y cuántas horas se van a dedicar a los caminos que llevan hasta ellos.

La clasificación y el impacto son columnas distintas y no siempre coinciden. La clasificación dice cómo hay que tratar el dato; el impacto, qué pasa si se pierde. Un activo puede estar clasificado alto por obligación legal y tener impacto moderado, o al revés. El plan usa las dos: la clasificación para saber qué cuidado exige manipularlo durante la prueba, el impacto para decidir cuánto se prueba.

Saber qué activos hay cambia también cómo se trabaja. Un encargo que roza datos personales obliga a mirar lo mínimo, a no sacar copias, a guardar solo la evidencia imprescindible y a borrarla cuando el informe se entrega. Eso se pacta antes, en la carta, y no se improvisa el día que aparece el archivo.

La forma habitual de resolverlo es demostrar sin exponer: una captura con el dato tapado, un conteo en lugar de un listado, el identificador del registro en vez de su contenido. El hallazgo queda igual de probado y el informe no se convierte en una segunda copia del problema.