Informe de risco de VPN ignorado? Escriba a decisión, non a puntuación

Unha nota de risco que remata cunha clasificación de gravidade dálle a un xerente un veredicto e ningunha acción. Por iso moitas volven con «grazas, anotado» e nada máis. As notas que se aproban comparten unha forma: unha afirmación estreita e comprobable, dúas opcións con nome e prezo, e unha persoa que debe responder antes dunha data. Todo o que segue trata de producir esa forma sen exaxerar o que sabe.

A puntuación responde unha pregunta que ninguén fixo

A aritmética de probabilidade por impacto produce un número que ordena os achados entre si. Non lle di a un director que asinar, e invita a discutir o multiplicador en lugar de decidir sobre a pasarela. Vin unha cifra de exposición con dous decimais absorber unha reunión enteira mentres a pregunta real —se financiar unha actualización este trimestre— quedaba sen formular.

Neste ámbito só hai unhas poucas decisións reais. Financiar a actualización, aceptar unha exposición limitada ata unha data declarada ou reducir quen pode chegar ao servizo. Cada unha ten un responsable distinto e un custo distinto, e ningunha é «reducir o risco un 40 por cento».

A inflación de gravidade empeora o problema. Cando cada achado é crítico, a clasificación deixa de discriminar e o lector recorre ao único sinal que queda, que é quen se queixou máis forte. Unha nota que di que a versión está fóra de soporte, que este é o segundo trimestre que o está e que un grupo concreto de persoal depende dela é moito máis accionable que unha insignia vermella.

A vaguedade é o outro fracaso. «A VPN é insegura» non se pode resolver, porque non di que despregue, que versión nin quen pode chegar a que. Unha frase que o lector pode comprobar é a unidade mínima dun informe útil.

Reduza a afirmación ata que alguén poida comprobala

Ancore a afirmación nun límite publicado e non nunha opinión. Fóra de soporte do provedor, falta dun paso de autenticación obrigatorio ou accesibilidade desde un segmento de rede que non debería velo son todas afirmacións cunha proba detrás. Para a primeira, a proba son tres ordes na propia pasarela:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

A liña de versión e a consulta do paquete adoitan coincidir, e cando non o fan atopou un segundo problema que merece un informe á parte. A data de caducidade do certificado é o campo que a xente esquece comprobar ata que os clientes comezan a non poder conectarse, e pertence ao mesmo anexo de probas que a cadea de versión.

Anote de onde veu cada saída e cando se tomou. Unha nota que di «pasarela gw1, recollida o martes» pode volver executala un escéptico; unha captura recortada ata a liña interesante, non. Elimine claves, enderezos privados e nomes de conta antes de que o ficheiro saia da súa máquina.

Escriba a nota como unha elección entre opcións con nome

Unha nota de decisión é curta porque fai un só traballo. Esta é a forma que uso, cuberta para unha organización inventada de tamaño medio cuxa versión de acceso remoto quedou fóra de soporte:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Cada liña gaña o seu sitio. A petición é unha frase e contén unha data. A afirmación é comprobable. A opción B existe para que a opción A sexa unha elección e non unha formalidade, e nomea a reinstalación do cliente porque ese é o custo que a xente subestima. O custo de esperar describe unha consecuencia, non unha probabilidade.

O que a nota non debe facer é introducir de contrabando unha conclusión que non pode soster. Se non se demostrou ningún compromiso, dígao nunha liña, porque un lector que descubra máis tarde unha exaxeración tamén descontará as súas tres notas seguintes.

Que debe conter a aceptación do risco

A aceptación non é a ausencia dunha decisión nin é silencio. Se a resposta é convivir coa exposición un tempo, a nota necesita tres engadidos: unha data final, un paso de monitorización que alguén realice de verdade e unha persoa con nome que reabra a cuestión cando chegue a data.

Un control provisional necesita o mesmo trato. Restrinxir o servizo a un grupo máis pequeno reduce a exposición só se a restrición se aplica nalgún sitio e alguén mantén a lista. Un bloqueo que detén en silencio unha tarefa nocturna non é un control, é unha caída con mellor papeleo.

Manteña separados o responsable do cambio e o responsable da decisión cando son persoas distintas. O equipo de plataforma executa; o director acepta. Escribir ambos os nomes na nota elimina a parada máis común, que é un plan ben preparado esperando a unha persoa que nunca o viu.

Verifique a nota contra o despregue antes de enviala

As afirmacións envellecen mal en organizacións con máis dunha pasarela. Un achado copiado dun fío de foro sobre outra versión, ou dun host reconstruído o mes pasado, será cuestionado na reunión e o resto da nota irá con el. Volva executar as probas en cada host que a nota nomea:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Se os dous hosts non coinciden, a nota agora trata dunha frota mixta, que é un achado distinto e normalmente máis convincente. Se o servizo está inactivo nun host que vostede cría que servía tráfico, detéñase e corrixa o inventario antes de que a nota vaia a ningures.

Despois anexe a saída, poña a data da decisión no asunto e envíea á persoa que pode dicir si en lugar de ao grupo que a discutirá. Se a resposta volve como «agora non», pregunte pola data en que pasa a ser «agora» e escriba esa data na seguinte versión da nota.