Hallazgo crítico: notificar antes del informe

Un hallazgo crítico encontrado el miércoles y contado en un informe del viernes de la semana siguiente ha pasado más de una semana abierto con alguien que ya sabe que existe. Por eso las cartas de encargo serias incluyen una cláusula de aviso inmediato: qué criterio convierte un hallazgo en aviso, el plazo desde que se confirma, el canal y lo que debe contener.

El criterio suele combinar quién puede aprovecharlo (desde internet o solo desde dentro), si necesita una cuenta y qué deja leer o cambiar. También entra cualquier señal de que alguien ya lo está usando. Lo que no cumple el criterio no se avisa en caliente aunque sea serio: va al informe con su severidad, y si piden atención, se menciona en el reporte diario.

Avisar no cierra el hallazgo ni lo saca del informe. Y la severidad que se dice por teléfono es la misma que irá por escrito: exagerar para que el cliente reaccione se paga en credibilidad.

El criterio de la carta tiene varias condiciones que se cumplen a la vez. Un hallazgo puede ser alcanzable desde internet y no exponer nada por sí solo; otro puede exponer datos ajenos pero necesitar una cuenta. Solo uno cumple todo.

Abre el laboratorio, lee la cláusula y recorre los hallazgos columna por columna.

El plazo de la carta empieza a contar cuando el hallazgo se confirma, no cuando se sospecha ni cuando se termina el día. Por eso el registro y la tabla de hallazgos guardan la hora de confirmación: es la que se usará si alguien pregunta después por qué se avisó a esa hora.

Un compañero dejó redactado el aviso. Antes de que salga, se compara campo por campo con la carta: a quién va, por qué canal y qué lleva. Un aviso de un hallazgo que expone datos de personas no puede, a su vez, mover esos datos por un canal sin cifrar: el aviso se convertiría en una segunda fuga.

Para demostrar el hallazgo no hace falta el archivo entero: basta con la ruta, la hora de confirmación y cuántos registros se ven.