Tablero de deuda de seguridad por aplicación

La deuda de seguridad de una aplicación es lo que se sabe que está mal en ella y sigue ahí. Un hallazgo aceptado no se corrigió: alguien decidió convivir con él durante un tiempo. Sigue siendo deuda, con fecha de vencimiento, y un tablero honesto la muestra aparte pero la suma. Del mismo modo, sacar de la lista un duplicado o un no reproducible ordena el registro, pero no corrige nada en la aplicación.

Abre el laboratorio y lee guia-del-tablero.txt y tablero-borrador.txt.

El borrador dice que en noviembre se cerraron 34 hallazgos. Abre cierres-noviembre.csv y mira la columna de motivo. Con cat cierres-noviembre.csv | cut -d , -f 5 | sort | uniq -c ves cuántos hay de cada uno.

El borrador ordena las aplicaciones por deuda alta y crítica, pero solo con los abiertos. Abre deuda-alta-critica.csv y cuenta por aplicación con los aceptados incluidos, como pide la guía. Cuando una aplicación acumula aceptaciones, el tablero que las excluye la hace parecer la más sana justo cuando es la que más riesgo asumido tiene.

La tendencia del borrador compara 34 cierres con 24 entradas, y las dos cifras están infladas: los cierres por lo que viste en la tarea 2, y las entradas porque son filas del exporte y no hallazgos distintos. Deduplica entradas-noviembre.csv con la clave de siempre (aplicación, CWE y ubicación) y aplica el punto 4 de la guía.

El número de hallazgos no dice cuánto tiempo lleva expuesta la aplicación. La edad del hallazgo abierto más antiguo sí, y es la cifra que más incomoda en un comité, porque ningún plazo de la política llega tan lejos. Un aceptado puede ser más antiguo, pero está en otra columna: aquí se pregunta por lo que nadie decidió.