Leer una evaluación de madurez

Un puntaje de SAMM mide si la organización hace una práctica de forma repetible y con rastro. No mide si una aplicación concreta tiene fallos: un equipo puede tener buen puntaje en pruebas de seguridad y una vulnerabilidad grave abierta, y otro puede tener puntaje bajo y una aplicación pequeña y sana. Mezclar las dos lecturas lleva a decisiones malas en las dos direcciones.

El puntaje también vale para un alcance. Si la evaluación dice «la empresa», tiene que haber mirado a toda la empresa; si miró a una parte, el número es de esa parte y hay que decirlo. Y depende de cómo se respondió: la autoevaluación tiende al optimismo, y por eso las evaluaciones serias separan lo declarado de lo que se puede mostrar.

Abre el laboratorio y lee alcance.txt y entrevistas.txt. El alcance dice qué equipos debían entrar; el registro, a quién se entrevistó de verdad. Un equipo que no se entrevistó no aportó respuestas, y la cifra «de la empresa» queda hecha con los demás.

No es un error raro ni malintencionado: el corte llega, alguien está de vacaciones y se cierra con lo que hay. El error es no decirlo en el resumen.

Lee convencion.txt. Es la convención de este laboratorio, no la de la guía oficial de SAMM, que define su propio método y conviene consultar antes de usar números en un caso real. Aquí cada respuesta vale de 0 a 1, un flujo suma sus tres respuestas y la práctica promedia sus dos flujos. El puntaje declarado cuenta todo; el verificado solo lo que tiene un documento con fecha anterior o igual al corte.

La diferencia entre los dos es la información más útil de la evaluación: señala dónde el programa cree que hace algo que no puede mostrar. Calcula los dos puntajes de cada práctica con respuestas.txt y busca la caída más grande.

comparativa-2025.txt muestra tres prácticas que suben frente al año pasado. Una subida se presenta como logro del programa, y por eso merece la misma revisión que una bajada: qué respuesta cambió y qué documento la sostiene. El detalle que suele fallar es la fecha. Un plan aprobado después del corte puede ser una buena noticia para el año que viene, pero no es evidencia de lo que había el día que se midió.

Para cada práctica de la comparativa, busca en respuestas.txt los documentos que sostienen sus respuestas y mira su fecha en indice-evidencias.txt.

Ya sabes que un equipo no entró, que una práctica se sostiene casi solo en entrevistas y que una subida se apoya en un documento posterior al corte. Nada de eso invalida la evaluación; cambia cómo se cuenta.