Las reglas del segundo proveedor para hacer pruebas

Para probar algo que vive en la nube hacen falta dos permisos, y nunca son el mismo. El del cliente dice qué activos suyos se pueden revisar, con qué ventana y hasta dónde. El del proveedor dice qué está dispuesto a aguantar en su infraestructura compartida, y es innegociable: por mucho que el cliente firme, hay cosas que el proveedor prohíbe porque afectarían a los demás inquilinos.

El primer proveedor del módulo anterior organiza eso con una lista de servicios que se pueden probar sin pedir nada y un trámite para lo que quede fuera. Este segundo lo organiza al revés: no hay lista de servicios ni aviso previo, y lo que marca la línea es que el recurso sea del cliente más un bloque de prohibiciones. Las dos reglas llevan al mismo párrafo en la propuesta, y ese párrafo se escribe antes de empezar.

El plan de pruebas se revisa contra las reglas del proveedor antes de pasarlo al cliente, no después. Tres de las cuatro propuestas son lectura de configuración; una persigue un objetivo legítimo del cliente, pero con un método que el proveedor prohíbe en todas sus formas. Esa se retira del plan y el objetivo se replantea aparte.

Abre el laboratorio y cruza plan-de-pruebas.txt con reglas-del-proveedor.txt.

La matriz de responsabilidad que llena un cliente es una declaración de creencias, y por eso el evaluador la lee con cuidado. Lo que el cliente da por hecho que configura el proveedor es, casi siempre, donde nadie está mirando.

En este proveedor hay controles que de verdad son suyos y no admiten discusión: el cifrado de los datos guardados en el almacenamiento viene activo en toda cuenta y no se puede apagar, así que ahí no hay nada que reportar. Y hay otro de la lista que el cliente atribuyó al proveedor y que en realidad se configura recurso por recurso, del lado del cliente.

En este proveedor las suscripciones de una misma empresa suelen colgar del mismo grupo de administración, y desde una cuenta con permisos amplios se ven todas. Ver no es estar autorizado. La carta nombra tres y solo autoriza dos, y la tercera la administra un socio comercial: aunque apareciera en la misma pantalla y aunque hubiera un hallazgo evidente dentro, queda fuera.

De vez en cuando lo que aparece no es un error de configuración del cliente: es un fallo de la plataforma del proveedor. En ese momento el encargo se para en seco. No se usa el fallo para llegar más lejos, no se guarda lo que se haya visto, se le reporta al centro de respuesta del proveedor y después se le explica al cliente qué se detuvo y por qué. Seguir «solo un poco más» para medir el impacto es exactamente lo que la regla prohíbe y lo que convierte una prueba autorizada en un problema legal.