Qué mide la gestión de postura

Una herramienta de gestión de postura lee la configuración de la cuenta con un rol de solo lectura y la compara con una lista de controles: bloqueo de acceso público en el almacenamiento, segundo factor en las cuentas, puertos de administración cerrados, registro de auditoría encendido. Su resultado es una foto de cómo están los interruptores, con la fecha de la corrida.

Eso la separa de otras herramientas. No mira el tráfico que pasa ni te avisa de que una credencial se está usando ahora mismo desde otro país: eso es detección en tiempo de ejecución y vive en los registros y en servicios como GuardDuty o Defender. La postura responde a una pregunta anterior: ¿qué puertas hemos dejado abiertas para cuando alguien pruebe?

Un informe sin cabecera no se puede usar: hay que saber qué cuentas se miraron, cuándo, con qué permisos y con qué frecuencia. Después viene la lista de hallazgos, y cada fila que de verdad sirve lleva la fecha en que apareció por primera vez. Esa fecha convierte la lista en una cola con memoria: un hallazgo que lleva meses abierto cuenta una historia distinta a uno de ayer. O nadie lo ve, o nadie puede cerrarlo, o alguien decidió convivir con él sin dejarlo escrito.

Abre la tabla de hallazgos de Sauzal y compara las fechas de la columna abierto_desde.

El informe de postura lleva una tabla que casi todos saltan: la cobertura. Dice, por servicio, cuántos recursos existen y cuántos pudo revisar la herramienta. Una herramienta puede dejar de evaluar un servicio porque su rol no tiene permiso de lectura, porque el servicio es nuevo y todavía no tiene controles, o porque la cuenta entró al alcance hace una semana.

El error clásico es leer «cero hallazgos» en un servicio y concluir que está bien. Cero hallazgos con todo evaluado es un buen dato; cero hallazgos con nada evaluado es una laguna.

La tabla de cobertura de Sauzal tiene un servicio con cuatro recursos inventariados y cero evaluados. Nadie lo mira, así que nada se puede reportar. Si la corrida semanal enviara un resumen que dijera «sin hallazgos en bases de datos», sería literalmente cierto y completamente engañoso.

Lo que corresponde es registrar la laguna como un hallazgo de la propia herramienta: falta el permiso, se pide, y hasta que exista el informe dice «no evaluado», nunca «sin hallazgos».