Excepciones y fechas de compromiso

Una excepción es una decisión de riesgo por escrito: se acepta no corregir un hallazgo dentro del plazo porque algo lo impide, y se compensa con otra cosa mientras tanto. Una vulnerabilidad que simplemente no se atiende no es una excepción: es un olvido con aspecto de decisión.

Lo que hace que una excepción sea una decisión es lo que lleva: la justificación, un control compensatorio (aislar el sistema, restringir el acceso, vigilarlo más), el nombre de quien la aprueba y una fecha de vencimiento. La política de la granja (politica-plazos.txt) lo exige.

El registro de excepciones tiene una columna para el control compensatorio. Una celda con la palabra «ninguno» significa que el hallazgo sigue igual de expuesto que el primer día y que, además, nadie lo va a corregir dentro del plazo. Es la primera que se escala.

Abre registro-excepciones.csv.

Una excepción vence para que se vuelva a mirar. Pasada la fecha, o el hallazgo se corrigió o hay que renovarla con una revisión nueva; mientras tanto no cubre nada. El registro trae el corte en su primera línea y la fecha de vencimiento de cada excepción.

El atraso respecto del plazo es la medida honesta de un hallazgo abierto: no cuántos días lleva abierto, sino cuántos pasaron del límite de la política. El plazo cuenta desde la detección y depende de la severidad. Para el hallazgo H-311, el registro da la severidad y la fecha de detección; la política, el plazo. Cuéntalo sin tener en cuenta la excepción.

Una ventana de parcheo es un día en que se permite tocar producción; no es una promesa. La promesa es la fecha de compromiso: el día en que el hallazgo quedará corregido, y para que sea creíble tiene que caer en una ventana que llegue a tiempo para el plazo. Si la última ventana antes del límite se pierde, la siguiente ya incumple.

Para el hallazgo nuevo (hallazgo-nuevo.csv) calcula el límite con la política y busca en ventanas-de-parcheo.txt.