Matriz de cobertura y huecos

Una técnica está cubierta cuando hay un control que la previene o una regla que la detecta, y además hay evidencia de que funciona: una alerta válida reciente, una revisión de la regla, una prueba autorizada con resultado. Tener la regla escrita es un primer paso; la evidencia es lo que la convierte en cobertura.

Por eso la matriz suele usar al menos cuatro estados: cubierta, parcial, sin evidencia (existe el control pero nadie ha comprobado que funciona) y hueco (no hay nada). Mezclar los dos últimos infla el trabajo o esconde el riesgo.

La tabla matriz dice, por técnica, si hay prevención (si, parcial o no), cuál es su regla de detección (o ninguna) y la fecha de la última alerta válida. Un hueco total no tiene prevención ni regla.

Para el informe, una regla es «sin evidencia» si nunca produjo una alerta válida o si la última es anterior a los doce meses previos a la fecha del informe, el 9 de mayo de 2028. Las técnicas sin regla no se cuentan aquí: son otro hallazgo.

Una regla de detección se alimenta de una fuente de registros. Si la fuente se apaga, la regla sigue escrita y en el panel, pero no puede alertar jamás. La tabla reglas dice de qué fuente depende cada una y si esa fuente está activa.

Un hueco se informa con su evidencia (qué se buscó y qué no se encontró), su alcance (qué segmentos o fuentes) y la fecha. Decir «no tenemos cobertura» sin esas tres cosas no se puede comprobar ni priorizar.