De la evidencia al hallazgo y su recomendación

Un hallazgo de arquitectura no es una opinión sobre la red: es una afirmación sostenida con evidencia. Lleva cuatro cosas. La evidencia: la regla, el caso de la matriz o la tabla de la que sale, con su identificador. La zona o los equipos afectados: quién sufre si el hallazgo se explota. El impacto: qué cambia en el negocio o en la operación, no solo en el protocolo. Y una recomendación concreta que pueda comprobarse después.

Lo que no lleva: la lista entera de reglas del cortafuegos «para que se vea el trabajo hecho», una severidad inflada para que lo atiendan más rápido ni una conclusión que el dato no sostiene. Si falta la evidencia, es una sospecha y se anota como tal.

El orden del resumen ejecutivo no lo decide quien revisa: lo fija el cliente en la carta de alcance. Un evaluador suele ordenar por severidad técnica; el cliente ordena por lo que más le importa a su negocio (la continuidad de la producción, la exposición a internet, el dato de sus clientes). Ninguno está equivocado, pero el que firma el encargo es el que manda en el resumen.

Lee la carta y busca cuál es la zona que el cliente pone como primera prioridad. Esa zona decide qué hallazgo abre el resumen.

Entre los siete hallazgos del borrador hay dos con impacto alto y esfuerzo bajo: los que más reducen el riesgo con menos trabajo. Para ordenar entre ellos, no basta con el impacto técnico: se aplica la prioridad de la carta. El que toca la zona que el cliente puso primero va delante, aunque el otro sea igual de urgente para quien revisa.

Filtra el borrador por impacto y esfuerzo, mira la zona afectada de cada uno y cita el identificador del que corresponde a la prioridad de la carta.

Una recomendación útil dice qué cambia, sobre qué dato se apoya y cómo se verificará después. Para una regla ancha con tráfico real, es acotarla a lo que el registro muestre; para una regla sin uso, retirarla; para un puente entre zonas, quitar la interfaz o ponerla detrás de una regla. Y siempre una comprobación: repetir la matriz de conectividad desde el mismo punto de prueba y esperar que el caso pase de abierto a bloqueado.

Lo que no sirve es una recomendación que repite el problema con otras palabras («mejorar la segmentación») o que cura el síntoma a costa de la operación («cerrarlo todo»), porque el cliente no podrá aplicarla ni medirla.

Puede pasar que el hallazgo que a ti te parece más grave no sea el que la carta pone primero. Lo profesional es no esconderlo ni imponerlo: el resumen se ordena con el criterio del cliente, y el hallazgo que tú consideras más urgente se mantiene visible, con su impacto explicado, para que el cliente decida con los dos datos delante.

Callarlo sería faltar a la honestidad del informe; saltarse la carta sería faltar al encargo. Las dos cosas se pueden cumplir a la vez si el resumen es claro sobre qué pone primero y por qué.