La reunión de presentación

Un informe anual suele presentarse dos veces. Primero, una reunión técnica con TI y seguridad, donde se recorren los hallazgos y los anexos, se corrigen errores de hecho y se acuerda qué se va a pedir. Después, la presentación a la dirección o a la junta, corta, centrada en el riesgo, la tendencia y las decisiones. El orden importa: si la gerente de TI se entera de un hallazgo delante de la junta, la reunión se va en defenderse, y la junta sale sin decidir nada.

En la presentación a la junta, el evaluador explica lo que encontró y sus límites; las decisiones las presenta quien las va a ejecutar. Y una pregunta que no se puede responder con la evidencia del encargo se anota y se responde por escrito después: improvisar delante de la junta es la forma más rápida de comprometer a la firma con algo que no probó.

Las preguntas difíciles de una junta se repiten: si los atacaron, cuánto cuesta, quién tiene la culpa, si después de corregir quedan seguros, si pueden compartir el informe. Prepararlas por escrito sirve para revisar las respuestas con calma. Una respuesta buena se apoya en lo que el encargo puede demostrar y dice qué no sabe; una mala promete algo que ninguna prueba puede respaldar y que la junta va a recordar.

Abre el laboratorio y lee las preguntas previstas con sus respuestas borrador.

Es la pregunta más incómoda para el evaluador, porque suena a reproche. Tiene tres respuestas posibles y solo una es la correcta en cada caso: el fallo no existía cuando se probó; existía pero estaba fuera del alcance; o existía, estaba en alcance y no se encontró. La tercera también se dice si es la verdad. Para saber cuál es, se mira la evidencia, no la memoria. La respuesta de la pregunta sobre los pedidos de la tienda está pendiente en el borrador.

El informe completo de un pentest es un mapa de cómo entrar a la empresa. Por eso el contrato fija una lista de distribución, y cualquier copia fuera de ella necesita una autorización escrita de quien firmó. Después de la presentación llegan pedidos de todas partes: el área comercial, la aseguradora, un proveedor. La regla no cambia porque quien pide sea de la misma empresa.