El informe de revisión y su plan

Un hallazgo que solo dice «falta cifrado» no se puede ejecutar. Para que el equipo lo atienda necesita cinco cosas: lo que se observó, la evidencia que lo respalda, el riesgo que crea, la recomendación y quién responde con qué fecha. Las dos nubes agrupan sus recomendaciones por pilar y por prioridad, pero el informe de una revisión sale de la evidencia del caso, no de una lista genérica.

Al armar el plan se ordena por severidad (qué tan grave si ocurre) y por esfuerzo (cuánto cuesta arreglarlo): lo grave y barato va primero.

Abre SELECT * FROM borrador_informe. Cada afirmación del borrador debería apuntar a una evidencia: una configuración, un registro, un acta. Una afirmación categórica («ningún servicio usa...») sin evidencia es la más peligrosa del informe, porque es la que alguien va a citar.

Filtra por evidencia_adjunta = 'no'.

Un informe que se contradice a sí mismo pierde credibilidad entera. Una afirmación puede traer evidencia y aun así contradecir un hallazgo que la propia revisión encontró en otra área. Por eso, antes de firmar, se cruza cada afirmación con la lista de hallazgos.

Filtra por contradice_hallazgo = 'si' y mira el hallazgo que se contradice.

Abre SELECT * FROM hallazgos. Seis hallazgos compiten por el tiempo del equipo. La regla habitual de priorización del caso es empezar por lo de severidad alta que cuesta poco, porque reduce el riesgo más rápido por cada hora invertida. Lo grave y caro se planifica por etapas.

Un plan sin fechas es una lista de deseos. Para el hallazgo prioritario, el informe debe decir cuántos días tiene el responsable desde la fecha de la revisión (7 de octubre de 2026) hasta la fecha objetivo, y confirmar que son realistas con el esfuerzo estimado.