De la amenaza a la hipótesis de prueba

Una hipótesis de prueba tiene tres partes. La afirmación, escrita en presente y sobre un componente concreto. Cómo se comprueba, que dice qué evidencia hay que mirar y con qué permiso. Y el criterio de cierre, que dice qué resultado la da por descartada.

La tercera es la que casi siempre falta y la única que convierte la prueba en algo repetible. Sin criterio de cierre, el evaluador no sabe cuándo parar y el cliente no sabe qué significa que no se haya encontrado nada. Con criterio, «no reproducido en diez intentos con la configuración X» es un resultado que otra persona puede repetir y que el retest podrá comparar.

Una afirmación general —que un componente «es inseguro», que «tiene riesgo»— no admite criterio de cierre y por eso no es hipótesis. Se devuelve a quien la escribió para que diga qué pierde el sistema y con qué evidencia se sabría.

En todo borrador hay al menos una fila escrita con prisa: una afirmación general que nadie sabe cómo comprobar ni cuándo dar por cerrada. Reconocerla cuesta diez segundos y ahorra días: si entra al plan, se lleva horas y no produce ni hallazgo ni descarte, solo una línea tibia en el informe.

Lo que se hace con ella no es borrarla. Se devuelve con una pregunta concreta: qué propiedad se pierde y qué evidencia haría falta para saberlo. De esa conversación suelen salir dos o tres hipótesis buenas, porque detrás de una frase general casi siempre hay una preocupación real mal expresada.

Abre el laboratorio y mira la columna de criterio de cierre.

Las hipótesis no cuestan lo mismo. Unas se cierran leyendo documentación que el cliente ya entregó: una matriz de permisos, una plantilla de mensajes de error, el esquema del registro de actividad. Otras exigen el entorno de pruebas, una ventana acordada y la autorización escrita de quien la firma.

Las primeras van antes por dos razones. Se resuelven sin consumir la ventana, que es el recurso escaso, y su resultado cambia las segundas: si la matriz de permisos ya dice que esa cuenta no puede escribir, la observación en el entorno pasa de comprobar a confirmar, y cuesta la mitad.

Cada hipótesis que entra al plan es un compromiso con el cliente, y por eso se escribe también lo que va a quedar escrito después. Si se confirma, un hallazgo con su evidencia, su impacto en palabras del negocio y su corrección. Si se descarta, una línea que diga qué se comprobó, con qué criterio y en qué fecha.

Esa segunda línea es la que distingue un informe serio. Un cliente que lee «no se encontraron problemas» no sabe si es que no los hay o es que no se miró; uno que lee «se comprobó esto, con este criterio, y no se reprodujo» puede decidir si le basta, y el retest sabe exactamente qué repetir.