Ir al contenido
Auditar

Compruebe si aguanta

Una auditoría no es una lista de cosas que no le gustan a un linter. Es un conjunto ordenado de preguntas sobre las partes que le hacen perder dinero o datos cuando fallan, respondidas con pruebas.

Qué hay en esta categoría

Auditorías que nombran el riesgo, no el mal olor

Cada hallazgo viene con lo que pasaría de verdad, con qué probabilidad y qué haría falta para arreglarlo.

Auditoría de arquitectura

Dónde el diseño pelea con los requisitos, qué acoplamiento morderá en el próximo cambio y qué no sobrevivirá al crecimiento que tiene previsto.

Auditoría de base de datos

Esquema, índices, restricciones, migraciones y las consultas que caerán primero. Incluye lo que no está protegido por una restricción y debería estarlo.

Auditoría de despliegue

Cómo llega realmente una versión a producción, qué pasa cuando falla a medias y si la reversión se ha probado alguna vez.

Auditoría de dependencias

De qué depende, qué está sin mantenimiento, qué tiene problemas conocidos y qué actualización va a doler.

Revisión técnica de seguridad

Autenticación, autorización, tratamiento de entradas, secretos, superficies expuestas. Hallazgos técnicos, no un certificado de cumplimiento.

Revisión de copias y recuperación

Si las copias existen, si se restauran y cuánto tarda eso. Casi todos los equipos descubren la respuesta en el peor momento posible.

Cómo se ejecuta una auditoría

  1. Primero se fija el alcance

    Qué se audita y qué queda expresamente fuera, escrito antes de abrir nada. Una auditoría sin frontera no termina nunca.

  2. Primero la prueba, luego la gravedad

    Cada hallazgo registra qué se observó y dónde, y solo después qué de malo tiene. Una gravedad asignada antes que la prueba es una opinión con color.

  3. Los hallazgos se ponen en duda

    Una pasada de verificación intenta refutar cada hallazgo. Los que sobreviven son sobre los que se actúa.

  4. Ordenados por consecuencia

    El informe termina con qué hacer primero, según qué se rompe y cuánto cuesta, no según lo fácil que sea de arreglar.

Cuándo una auditoría es lo correcto

Todavía no si

Nadie ha escrito qué es el sistema

Está en plena migración y todo se mueve

Ya sabe la respuesta y quiere que se la confirmen

El equipo no tiene capacidad para actuar sobre los hallazgos

Sí si

Algo falló y no sabe por qué

Va a asumir más tráfico, más usuarios o más dinero

Un cliente o un inversor está haciendo preguntas difíciles

Quienes lo construyeron ya no están

Elija la categoría que corresponde a su preocupación

Describa la situación con sus palabras y vea el procedimiento —y su coste— antes de gastar nada.