El resumen ejecutivo que lee la junta

El informe de un pentest tiene varios lectores, y cada uno lee una parte distinta. El equipo técnico lee los hallazgos y los anexos, porque tiene que reproducir y corregir. La gerencia de TI lee el registro completo para planear el trabajo. La junta directiva lee una página, y la lee para decidir: cuánto riesgo tiene la empresa, si va mejor o peor que antes y qué tiene que aprobar hoy.

Por eso el resumen ejecutivo no es una versión corta del informe técnico. Es otro documento, con otra pregunta: qué necesita saber alguien que decide dinero y prioridades, y que no tiene por qué saber qué es una cabecera o un protocolo. Un resumen que repite la lista de hallazgos en miniatura obliga a la junta a traducirlo, y lo que no se entiende no se aprueba.

Una forma práctica de revisar un resumen es leerlo como lo leería un miembro de la junta sin formación técnica. Cada término del oficio (una sigla de protocolo, un código de respuesta, el nombre de una cuenta técnica, una ruta de la aplicación) es un punto donde ese lector deja de entender. El dato técnico no desaparece: se va al cuerpo del informe y a los anexos, y en el resumen queda su consecuencia, dicha con personas, dinero o servicio.

Abre el laboratorio, lee la guía de redacción de la firma y después el borrador del resumen ejecutivo.

La parte más útil de un resumen ejecutivo es la última: lo que se pide. Una petición que la junta puede aprobar tiene tres datos. Un dueño, que es el área o la persona que responde por ella. Un plazo, para poder preguntar en la siguiente sesión si se cumplió. Y un costo estimado, porque aprobar es asignar dinero o tiempo de personas.

Una petición sin dueño es la causa más común de que un hallazgo pase de un año al siguiente: todos estaban de acuerdo en que había que corregirlo y nadie lo tenía en su lista. Revisa las decisiones que el borrador pide aprobar.

El resumen dice cómo está la empresa, y ahí hay dos errores opuestos. Uno es asustar: el peor caso imaginable, contado como si fuera a pasar mañana, para que la junta reaccione. El otro es tranquilizar de más: decir que la empresa «es segura» o «quedará protegida» al corregir la lista. Ninguna prueba demuestra que no existan otros fallos; demuestra lo que se encontró en el alcance y en la ventana que se probaron.

La forma honesta es la del párrafo final del borrador: qué se probó, qué quedó fuera y qué no garantiza el resultado. Eso protege a la junta, que sabe qué está comprando, y protege a la firma.