Hay dos formas de señalar un problema en una solicitud de extracción. Una es decir 'esto parece que podría no ser conforme'. La otra es decir 'esto elimina el registro de auditoría para una acción privilegiada, que ISO 27001 A.8.15 espera que conserves'. La primera es ruido. La segunda es algo con lo que un ingeniero puede actuar o discutir. La diferencia es la cláusula.
Citar la cláusula exacta es el núcleo de cómo heygrc reporta un hallazgo, y también es una restricción que aceptamos: cuando no podemos nombrar la cláusula, preferimos no decir nada. Esta es la razón.
El hallazgo vago es peor que nada
Un hallazgo sin cláusula le transfiere al lector el trabajo que se omitió. ¿Es real? ¿Qué regla? ¿Dónde lo verifico? La primera vez, lo buscan. Después de unas cuantas que resultan ser nada, dejan de leer los hallazgos por completo, incluyendo los verdaderos. Un revisor de cumplimiento que grita 'lobo' no obtiene una segunda oportunidad, sino que es silenciado.
El recurso escaso no es la cobertura. Es la confianza, y un hallazgo vago la gasta.
Una cita es una afirmación falsable
Nombrar la cláusula exacta convierte una corazonada en una afirmación que puedes verificar. Le indica al lector qué control, con un nivel de detalle que puede comprobar, y lo invita a discrepar. Esa es la característica, no un efecto secundario: un hallazgo que puedes refutar es un hallazgo en el que puedes confiar cuando se mantiene.
async function runExport(userId, rows) {- await audit.log("data.export", { userId, count: rows.length }) return write(rows)}No es 'esto parece no conforme'. La afirmación específica: esto elimina el registro de una exportación masiva de datos, el tipo de evento que A.8.15 espera que registres. Puedes abrir A.8.15, mirar el diff y decidir por ti mismo si la afirmación es válida. Ese es el punto.
El nivel de detalle es la parte difícil
La cláusula tiene que estar en el nivel de detalle correcto. 'Esto afecta a ISO 27001' es casi tan inútil como el silencio; 'esto elimina el registro que A.8.15 exige' es accionable. Llegar a ese punto significa mapear el cambio real, el comportamiento que se modificó en el diff, al control específico que lo regula. No el marco, no la familia de controles, la cláusula.
La mayor parte de la dificultad para construir un revisor de cumplimiento reside aquí. Detectar que algo cambió es la parte fácil. Nombrar exactamente qué control cambió, de manera correcta, es el trabajo.
Cuando no podemos citar, nos quedamos callados
Este es el intercambio que hacemos, especialmente al principio: precisión sobre exhaustividad. Si no podemos mapear un cambio a una cláusula específica en la que confiamos, no emitimos una advertencia más suave y vaga solo por precaución. Un hallazgo incorrecto o no verificable cuesta más confianza que uno omitido, y la confianza es lo que hace que los hallazgos verdaderos sean tenidos en cuenta.
El silencio es una característica cuando la alternativa es el ruido. Un revisor gana el derecho a ser creído manteniéndose callado cuando no está seguro.
Es más importante cuando el lector es un agente
Cuando un agente de codificación es quien lee el hallazgo, un 'esto parece no conforme' no verificable es aún peor: el agente no puede razonar sobre ello ni actuar en consecuencia, así que lo ignora o adivina. Un hallazgo que nombra el control y la cláusula es algo que tanto un humano como un agente pueden usar: buscar el control, ver qué espera, decidir. La cita es la interfaz.
El estándar es sencillo de enunciar y difícil de mantener: cada hallazgo nombra la cláusula o no hay hallazgo. La medida honesta de si lo estamos cumpliendo es la precisión de nivel de detalle de nuestras citas en diffs reales, algo que reportaremos a partir de nuestras propias evaluaciones cuando las hayamos ejecutado, con números o no.