Anexos técnicos reproducibles

En el módulo 9 la reproducción era una lista de pasos dentro del hallazgo. En un informe anual el anexo técnico es una pieza aparte, y su lector es alguien del cliente que no estuvo en la prueba y que tiene que repetirla meses después, a veces para el retesteo y a veces para discutir el hallazgo. Para que pueda hacerlo necesita más que los pasos: cuándo se probó y desde qué equipo, para encontrar la actividad en sus propios registros; con qué cuenta o rol, porque lo que ve un usuario cualquiera no es lo que ve un administrador; qué se esperaba y qué se observó; y cómo comprobará que la corrección funcionó.

La evidencia también tiene que poder defenderse. Cada archivo se registra al capturarlo con su huella criptográfica, y antes de entregar alguien vuelve a calcularla: si cambió, el archivo ya no es el que se capturó.

Abre el laboratorio y lee la guía de anexos de la firma: enumera los elementos que lleva cada uno. Después revisa los cinco anexos de la carpeta y busca el que omite un dato del que depende el resultado: sin él, quien lo repita puede obtener otra respuesta y concluir que el hallazgo no existe.

El manifiesto guarda la huella de cada archivo en el momento de capturarlo. Control de calidad la volvió a calcular el 11 de octubre. Si una huella no coincide, el archivo se modificó después de la captura, aunque sea para algo inocente como recortar una línea, y ya no sirve como evidencia de lo observado: hay que recuperar el original o declararlo.

La carta del encargo y la guía de anexos piden lo mismo: los datos personales de clientes, pacientes y empleados se enmascaran en toda la evidencia. Un anexo circula más que el resto del informe (lo leen desarrolladores, proveedores y a veces auditores) y un nombre completo junto a un dato de salud convierte el informe en una fuga. Revisa qué anexo lo incumple.