Comparar con el encargo anterior

Dos informes de años distintos solo se comparan si se sabe qué cambió entre ellos. Lo primero es el alcance: si este año entraron sistemas nuevos, habrá hallazgos que el año pasado no podían existir en el informe. Lo segundo es el método: si la severidad se calculó con otra versión del sistema de puntuación, las cifras no se comparan entre sí. CVSS, que mantiene FIRST, publicó su versión 4.0 en noviembre de 2023, y una misma debilidad puede puntuar distinto en la 3.1 y en la 4.0; lo que sí se puede comparar es la etiqueta de severidad que cada informe declaró.

Con eso fijado, cada hallazgo del año nuevo cae en una categoría: es nuevo, viene arrastrado del año anterior porque nunca se cerró de verdad, o se había corregido y volvió. Esa tercera clase dice algo distinto a las otras dos: la corrección se hizo, pero el proceso que la mantiene no existe.

Un hallazgo vuelve cuando se corrigió y se confirmó con una nueva prueba, pero algo después lo deshizo: un servidor nuevo instalado con la configuración vieja, una versión de la aplicación que reescribe el control, un cambio de proveedor. Para clasificarlo hay que cruzar tres datos: que sea el mismo fallo, en el mismo activo, y que el registro del año anterior diga que se cerró con nueva prueba de la firma.

Abre el laboratorio y lee la guía de comparación de la firma. Después cruza los dos registros.

Los hallazgos que pasan de un año al siguiente sin corregirse son la señal más clara para la junta, porque ya se le informaron una vez. Aquí hay una trampa de clasificación: un hallazgo que el cliente dio por cerrado sin que nadie lo volviera a probar, y que aparece otra vez, no es una regresión. Nunca se confirmó que estuviera corregido, así que cuenta como arrastrado. Y un fallo con el mismo título pero en otro activo tampoco se arrastra: es nuevo.

Antes de escribir que «hay más hallazgos que el año pasado», hay que separar los que aparecen en sistemas que el año pasado no se probaron. Esos hallazgos no dicen que la empresa empeoró: dicen que ahora se mira más. Compara los dos alcances firmados.

Con todo clasificado, la frase de tendencia para la junta tiene que decir lo que pasó sin que el cambio de alcance la deforme. En 2026 hubo 10 hallazgos en 6 activos; en 2027, 12 en 8.