¿Qué información necesita una auditoría?
La revisión comienza con síntomas y objetivos, pero no debe terminar ahí. Se necesitan repositorios, diagramas, configuraciones, métricas, incidentes y entrevistas con quienes desarrollan y operan el sistema.
¿Qué áreas deben revisarse?
La profundidad depende del riesgo del sistema. Una auditoría general suele cubrir las relaciones entre arquitectura, calidad, seguridad y operación, porque un problema visible puede tener su causa en otra capa.
- Dependencias y estructura del código
- Autenticación, autorización y manejo de secretos
- Modelo, calidad y respaldo de datos
- Rendimiento y capacidad
- Despliegues e infraestructura
- Logs, métricas, alertas e incidentes
¿Cómo se distinguen hechos de hipótesis?
Cada hallazgo debe incluir evidencia reproducible, impacto y contexto. Si todavía no se puede demostrar, debe presentarse como hipótesis junto con la comprobación necesaria, no como vulnerabilidad o causa confirmada.
¿Cómo se priorizan las mejoras?
La prioridad surge de combinar probabilidad, impacto, costo de corrección y dependencias. El resultado útil no es una lista extensa de defectos, sino un plan que reduzca primero los riesgos más importantes sin paralizar la operación.