Hallazgos de descubrimiento: qué dicen y qué no

Amazon Macie genera dos familias de hallazgos. Los hallazgos de política (por ejemplo, Policy:IAMUser/S3BucketPublic) avisan de que cambió la configuración de un almacén y quedó menos protegido. Los hallazgos de datos sensibles (por ejemplo, SensitiveData:S3Object/Personal, /Financial, /Credentials, /CustomIdentifier o /Multiple) avisan de lo que contiene un objeto concreto. El primero habla del continente; el segundo, del contenido. Un almacén puede tener uno, otro, ambos o ninguno.

El descubrimiento solo analiza lo que se le incluye: los almacenes del alcance del trabajo, el porcentaje que se muestrea y los formatos que sabe leer. Un almacén fuera del alcance, un archivo cifrado o una imagen escaneada no producen hallazgos aunque estén llenos de datos personales. La ausencia de hallazgos solo prueba algo cuando se sabe que el trabajo lo miró entero.

Abre trabajo-td-2026-10.txt y lee el alcance, el muestreo y los formatos.

Un patrón de diez dígitos puede ser un documento de identidad o una referencia de factura. Por eso cada hallazgo se verifica abriendo una muestra: con nombres cerca y varias ocurrencias suele ser real; una sola coincidencia suelta merece mirarse. La verificación manual es lo que separa un informe útil de una lista de alarmas que nadie atiende.

Cruza hallazgos.txt con verificacion-manual.txt.

Compara el alcance del trabajo con la lista de almacenes que guardan datos personales. Un almacén con datos personales que no está en el alcance es una zona ciega: el informe se leerá como si el descubrimiento hubiera cubierto toda la empresa.

Dentro de los almacenes que sí estaban en el alcance, hay formatos que la herramienta no lee. Esos objetos tampoco producen hallazgos: hay que revisarlos de otra manera. Para dimensionarlo, suma los objetos de los almacenes del alcance cuyo formato no se lee.