El informe de retesteo

El informe de retesteo acompaña al original; no lo reemplaza. El original sigue siendo el relato de lo que se encontró y cómo, con su fecha y su alcance; el nuevo dice qué pasó después con cada hallazgo.

De ahí salen las reglas que el escritorio recoge. La severidad original no se toca: el retesteo verifica correcciones, no vuelve a medir el riesgo; si el contexto cambió, se explica aparte y se dice por qué. Cada hallazgo lleva su estado nuevo, la fecha de verificación y el archivo de evidencia que lo sostiene. Y lo que no se retesteó se lista con su razón, nunca en silencio, porque un hallazgo ausente se lee como resuelto.

La última regla es la que protege al evaluador: una carta de resultado para un tercero solo afirma los estados verificados, con su fecha y su alcance. Nada de frases redondas que el retesteo no comprobó.

Abre el panel y contrasta cada línea del borrador con el registro de estados finales. Cinco líneas se sostienen y una afirma algo que la tabla contradice.

La gerencia va a querer un número, y el número tiene que ser el mismo en el resumen, en la tabla y en la carta. Cerrado es solo lo que se verificó cerrado: lo parcial, lo no corregido y lo que no se retesteó siguen abiertos, cada uno por su razón.

Droguerías Betulia pide una carta de una página para enseñar a un cliente grande. Quiere que diga que las vulnerabilidades reportadas fueron corregidas. El retesteo no comprobó eso: comprobó cinco hallazgos, cerró dos y dejó el resto con su estado y su razón.