Falsos positivos y excepciones documentadas

Un falso positivo es un hallazgo que la herramienta marca y que, al mirar la evidencia, no existe: se leyó mal una política, el inventario estaba viejo o el control no tiene en cuenta otra capa que ya protege. Se cierra con su evidencia y no deja riesgo detrás.

Una excepción documentada es otra cosa: el hallazgo es cierto, el riesgo existe, y alguien con autoridad decidió aceptarlo por un tiempo y por un motivo, con un dueño que responde. La primera corrige el informe; la segunda acepta un riesgo.

Una excepción sirve cuando alguien, meses después, puede responder cinco preguntas leyendo solo el registro: qué riesgo se aceptó, por qué, con qué evidencia, quién responde por él y quién lo aprobó. Falta una y la excepción deja de ser una decisión para ser un silencio con apariencia de decisión.

Abre el registro de excepciones de Sauzal y busca la entrada que no sostiene ninguna de esas respuestas: su motivo no es una razón, no cita evidencia y no tiene dueño.

Una excepción sin fecha de vencimiento es un permiso eterno. Lo que justificó aceptar un riesgo hoy puede dejar de valer en tres meses: el proveedor ya migró, el entorno de pruebas se convirtió en producción o el equipo que no admitía el control ya lo admite. Por eso toda excepción vence y se revisa antes de renovarse.

La corrida del informe de Sauzal es del 2026-11-16. Compara esa fecha con la columna vence, y no cuentes la que no tiene fecha: esa ya falló en la tarea anterior.

La tabla de revisión reúne tres hallazgos que alguien marcó como dudosos. Antes de llamarlos falsos positivos hay que mirar qué muestra la evidencia, y no todos se resuelven igual. Uno se explica por un permiso de lectura que la herramienta leyó sin entender su condición. Otro es un diseño pensado, que habría que documentar como excepción. El tercero es un inventario desactualizado: el hallazgo se refiere a algo que ya no existe.

Compara la fecha del inventario que usó el informe con la fecha que muestra la evidencia.

Cuando alguien pide dejar un hallazgo fuera del informe «porque se necesita así», la respuesta no es sí ni no. Lo que corresponde es pedir lo que falta: quién responde, qué evidencia lo respalda, quién lo aprueba y hasta cuándo. Con eso se vuelve una excepción; sin eso, es un hallazgo abierto que sigue en la cola con su antigüedad.

La presión por «limpiar el informe» es la razón por la que las excepciones sin documentar son tan frecuentes. Documentar cuesta diez minutos; un incidente que nadie había aceptado cuesta mucho más.