¿Informe de riesgo de VPN ignorado? Escriba la decisión, no la puntuación

Una nota de riesgo que termina con una clasificación de gravedad le da a un gerente un veredicto y ninguna acción. Por eso muchas vuelven con «gracias, anotado» y nada más. Las notas que se aprueban comparten una forma: una afirmación estrecha y comprobable, dos opciones con nombre y precio, y una persona que debe responder antes de una fecha. Todo lo siguiente trata de producir esa forma sin exagerar lo que sabe.

La puntuación responde una pregunta que nadie hizo

La aritmética de probabilidad por impacto produce un número que ordena los hallazgos entre sí. No le dice a un director qué firmar, e invita a discutir el multiplicador en lugar de decidir sobre la pasarela. He visto una cifra de exposición con dos decimales absorber una reunión entera mientras la pregunta real —si financiar una actualización este trimestre— quedaba sin formular.

En este ámbito solo hay unas pocas decisiones reales. Financiar la actualización, aceptar una exposición acotada hasta una fecha declarada o reducir quién puede llegar al servicio. Cada una tiene un responsable distinto y un costo distinto, y ninguna es «reducir el riesgo un 40 por ciento».

La inflación de gravedad empeora el problema. Cuando cada hallazgo es crítico, la clasificación deja de discriminar y el lector recurre a la única señal que queda, que es quién se quejó más fuerte. Una nota que dice que la versión está fuera de soporte, que este es el segundo trimestre que lo está y que un grupo concreto de personal depende de ella es mucho más accionable que una insignia roja.

La vaguedad es el otro fracaso. «La VPN es insegura» no se puede resolver, porque no dice qué despliegue, qué versión ni quién puede llegar a qué. Una frase que el lector puede comprobar es la unidad mínima de un informe útil.

Reduzca la afirmación hasta que alguien pueda comprobarla

Ancle la afirmación a un límite publicado y no a una opinión. Fuera de soporte del proveedor, falta de un paso de autenticación obligatorio o accesibilidad desde un segmento de red que no debería verlo son todas afirmaciones con una prueba detrás. Para la primera, la prueba son tres comandos en la propia pasarela:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

La línea de versión y la consulta del paquete suelen coincidir, y cuando no lo hacen ha encontrado un segundo problema que merece un informe aparte. La fecha de caducidad del certificado es el campo que la gente olvida comprobar hasta que los clientes empiezan a no poder conectarse, y pertenece al mismo adjunto de pruebas que la cadena de versión.

Anote de dónde vino cada salida y cuándo se tomó. Una nota que dice «pasarela gw1, recogida el martes» puede volver a ejecutarla un escéptico; una captura recortada hasta la línea interesante, no. Elimine claves, direcciones privadas y nombres de cuenta antes de que el archivo salga de su máquina.

Escriba la nota como una elección entre opciones con nombre

Una nota de decisión es corta porque hace un solo trabajo. Esta es la forma que uso, rellenada para una organización inventada de tamaño medio cuya versión de acceso remoto quedó fuera de soporte:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Cada línea se gana su lugar. La petición es una frase y contiene una fecha. La afirmación es comprobable. La opción B existe para que la opción A sea una elección y no una formalidad, y nombra la reinstalación del cliente porque ese es el costo que la gente subestima. El costo de esperar describe una consecuencia, no una probabilidad.

Lo que la nota no debe hacer es introducir de contrabando una conclusión que no puede sostener. Si no se ha demostrado ningún compromiso, dígalo en una línea, porque un lector que descubra más tarde una exageración también descontará sus tres notas siguientes.

Qué debe contener la aceptación del riesgo

La aceptación no es la ausencia de una decisión ni es silencio. Si la respuesta es convivir con la exposición un tiempo, la nota necesita tres añadidos: una fecha final, un paso de monitorización que alguien realice de verdad y una persona con nombre que reabra la cuestión cuando llegue la fecha.

Un control provisional necesita el mismo trato. Restringir el servicio a un grupo más pequeño reduce la exposición solo si la restricción se aplica en algún sitio y alguien mantiene la lista. Un bloqueo que detiene en silencio una tarea nocturna no es un control, es una caída con mejor papeleo.

Mantenga separados al responsable del cambio y al responsable de la decisión cuando son personas distintas. El equipo de plataforma ejecuta; el director acepta. Escribir ambos nombres en la nota elimina la parada más común, que es un plan bien preparado esperando a una persona que nunca lo vio.

Verifique la nota contra el despliegue antes de enviarla

Las afirmaciones envejecen mal en organizaciones con más de una pasarela. Un hallazgo copiado de un hilo de foro sobre otra versión, o de un host reconstruido el mes pasado, será cuestionado en la reunión y el resto de la nota se irá con él. Vuelva a ejecutar las pruebas en cada host que la nota nombre:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Si los dos hosts no coinciden, la nota ahora trata de una flota mixta, que es un hallazgo distinto y normalmente más convincente. Si el servicio está inactivo en un host que usted creía que servía tráfico, deténgase y corrija el inventario antes de que la nota vaya a ninguna parte.

Luego adjunte la salida, ponga la fecha de la decisión en el asunto y envíela a la persona que puede decir sí en lugar de al grupo que la discutirá. Si la respuesta vuelve como «ahora no», pregunte por la fecha en que pasa a ser «ahora» y escriba esa fecha en la siguiente versión de la nota.