Validación posterior y deriva

Una línea base es la lista de controles que todo recurso migrado debe cumplir, con el valor esperado de cada uno: por ejemplo, que el almacenamiento no sea público, que los datos estén cifrados en reposo o que cada recurso tenga un dueño etiquetado. La validación posterior mide cada recurso contra esa lista el día del corte.

La deriva aparece después: alguien cambia un valor para resolver una urgencia y nadie lo devuelve. Un recurso puede pasar la validación del corte y dejar de cumplir una semana más tarde, por eso la medición se repite y los cambios se registran con su ticket.

Se compara el valor esperado del control con el valor medido. En el control de acceso público, la línea base dice que el valor debe ser «no». Basta filtrar las mediciones de ese control y ver cuál no coincide.

Consulta la línea base con SELECT * FROM linea_base y luego las mediciones del control de acceso público.

Un cambio sin ticket es un cambio que nadie aprobó ni revisó. En el registro de cambios del destino, la columna de ticket dice «-» cuando no hay ninguno. Saber quién lo hizo no es para culpar: es para preguntar por qué y para entender si el proceso de cambios tiene un atajo.

La medición solo vale mientras es reciente. Un recurso que cumplía hace seis semanas puede haber cambiado sin que nadie lo sepa. Ordenar las mediciones por fecha muestra cuál se ha quedado atrás, y cuántos días lleva así dice cuán ciego se está sobre ese recurso.

La fecha del informe es el 7 de octubre de 2026. Cuenta los días de la medición más antigua.

Un volumen apareció sin cifrar. El cambio lo hizo una canalización de despliegue, con ticket, y no una persona por urgencia. Cifrar ese volumen resuelve el síntoma; si la plantilla que usa la canalización sigue creando volúmenes sin cifrar, mañana habrá otro.