Métricas de riesgo y tendencia

La métrica más fácil de sacar de un informe es el número de hallazgos, y es la que menos dice. Doce hallazgos bajos y uno crítico explotable desde internet no se parecen en nada, aunque el primero «tenga más». El número también depende de cosas que no son la seguridad del cliente: cuántos sistemas entraron en el alcance, cuántos días duró la prueba y cómo agrupó el evaluador fallos con la misma causa.

Las métricas que sirven a la junta miden el comportamiento de la empresa frente a lo que se encontró. Tres de uso general: qué parte de los hallazgos se corrigió dentro del plazo que la propia empresa se fijó; cuánto tardó en corregir los más graves; y cuántos hallazgos pasan de un encargo al siguiente. Todas dependen de una regla que hay que fijar antes: qué cuenta como «corregido».

La política de Herveo fija un plazo por severidad, contado desde la entrega del informe, y dice qué es un cierre: el que confirma la nueva prueba de la firma. Un cierre que declara el área responsable sin que nadie lo pruebe no cuenta. Esta regla importa porque un porcentaje calculado con cierres sin verificar sube solo, y deja de medir la corrección para medir la voluntad de cerrar tickets.

Abre el laboratorio, lee la política de plazos y el registro de hallazgos de 2026, y calcula para cada hallazgo los días entre la entrega y el cierre.

El porcentaje dice si se cumple el plazo; el tiempo hasta el cierre dice cuánto tiempo estuvo expuesta la empresa. Para los hallazgos graves, es la cifra que más le importa a la junta. Hay que decir con claridad qué entra en el promedio: aquí, solo los hallazgos cerrados con nueva prueba. Los que siguen abiertos no entran en el promedio, porque todavía no tienen fecha de cierre, y se informan aparte con su antigüedad: si se metieran con cualquier fecha inventada, el promedio mentiría.

Una tendencia necesita puntos comparables. El tablero del analista pone 0 % y 0 días en la columna de 2027, pero el informe de 2027 se entregó el 7 de octubre y el plazo de los críticos ni siquiera ha vencido. Un cero ahí no mide nada: compara un año cerrado con uno que empezó hace días, y le dice a la junta que la empresa no corrigió nada cuando todavía está a tiempo.

Lo honesto es separar lo que ya se puede medir de lo que está en curso: para el año actual se informa cuántos hallazgos hay abiertos, cuándo vence cada plazo y cuáles ya tienen una nueva prueba programada.