Excepciones y ciclo de vida de reglas

Una excepción es una decisión de aceptar un riesgo por un tiempo. Para que lo sea y no un agujero, necesita cuatro cosas: un dueño que responde por ella, un motivo concreto, un control compensatorio (qué reduce el riesgo mientras tanto, si lo hay) y una fecha de vencimiento.

Azure Policy lo refleja en sus exenciones: tienen categoría (Waiver, cuando se acepta temporalmente el incumplimiento; Mitigated, cuando la intención de la política se cumple por otra vía), metadatos para guardar quién la pidió y quién la aprobó, y una fecha de expiración opcional. Que sea opcional es justo el peligro: sin fecha, la exención dura mientras exista el recurso.

Una regla nueva que bloquea desde el primer día es una regla que va a romper algo. El ciclo sensato tiene etapas: se propone, se prueba, se pone en un modo que mide sin imponer, se revisan los falsos positivos y solo entonces se pasa a bloquear. En Azure Policy, ese modo que mide sin imponer es el enforcementMode: DoNotEnforce de la asignación: la regla se evalúa y aparece en el informe de cumplimiento, pero su efecto no se aplica al crear o modificar recursos. En AWS Config, una regla gestionada es detectiva y no bloquea por sí misma.

Después de la entrada viene la vida: cada regla debe tener propietario y una fecha de revisión, y las que ya no sirven se retiran en lugar de acumularse.

Abre excepciones.csv. La fecha del inventario está en su primera línea. Una excepción cuya fecha de vence es anterior a la del inventario ya no debería estar ahí: o se renueva con una nueva decisión, o el recurso se pone en regla. Si nadie la mira, sigue haciendo lo que hacía el primer día.

La antigüedad de una excepción vencida mide el descuido: cuantos más días lleva, más tiempo pasó el recurso fuera de la política sin que nadie lo decidiera. Calcula los días entre la fecha de vencimiento de esa excepción y la fecha del inventario.

reglas-ciclo.csv es el catálogo de reglas con su versión, su modo, su propietario y la fecha de su última revisión. Una regla en modo bloqueo que no se ha revisado en años y que no tiene propietario es doblemente frágil: nadie la mejora y nadie responde cuando bloquea algo que no debía. Identifica la que lleva más tiempo sin revisarse.