Qué entra al informe y qué no

Entregar la lista completa del escáner, con cientos de filas, no es entregar un informe: es entregar trabajo sin hacer. El cliente no puede distinguir qué es real, qué es urgente ni qué arreglar primero, y la primera falsa alarma que encuentre le resta crédito a todo lo demás. Un informe de pentest lleva lo que el consultor confirmó, con la evidencia que lo respalda y una recomendación que alguien pueda ejecutar.

Las reglas del informe de Cantera son claras: el cuerpo lleva solo hallazgos confirmados, cada uno con su evidencia. Los falsos positivos y los no concluyentes tienen su sitio en anexos. Cuenta cuántos hallazgos del borrador entran al cuerpo.

Un hallazgo que no se pudo confirmar ni descartar no se oculta ni se publica como cierto: va a un anexo con lo que falta para resolverlo. Así el cliente sabe que existe una duda y quién puede cerrarla, y el consultor no afirma lo que no pudo probar.

Si diez resultados del escáner se arreglan con una sola acción, como actualizar un paquete, el informe lleva un hallazgo con diez ubicaciones, no diez hallazgos. Agrupar por causa raíz es lo que convierte la lista en un plan de trabajo, y reduce el ruido que haría que el cliente pierda de vista lo importante.

La severidad de un hallazgo en el informe no se copia del CVSS. Se propone con lo que sabes: la exposición del equipo, si hay explotación observada y la probabilidad. Mira el hallazgo F-04, el del cifrado 3DES: su CVSS base es alto, pero no consta en KEV y su EPSS de ejemplo es bajo. La regla R5 pide explicar la severidad con esos datos.