Retest
Un retest es un segundo proyecto acotado cuyo único fin es verificar que los hallazgos de una evaluación anterior se han arreglado de verdad. En un programa de auditoría es lo que convierte un informe en evidencia, porque un plan de subsanación marcado como completo por dentro y un hallazgo demostrado cerrado mediante pruebas no son la misma afirmación.
El alcance es la lista de hallazgos, no el sistema. Un retest reproduce cada problema original por la ruta original y registra uno de tres resultados: cerrado, abierto, o atendido en parte con la condición residual descrita. No sale a buscar problemas nuevos y, cuando el arreglo ha cambiado la aplicación lo bastante como para que sean plausibles problemas nuevos, eso se dice en el informe como recomendación de un pentesting nuevo, en vez de absorberlo en silencio.
Dos cosas deciden si vale algo. El momento, porque un retest ejecutado antes de que el cambio llegue a producción prueba un entorno de preproducción y no demuestra nada sobre el parque. Y el método, porque un arreglo verificado leyendo un ticket de cambio no está verificado. Lo que entregamos es el mismo formato de evidencia que el hallazgo original, producido otra vez contra el sistema ya arreglado.
La parte comercialmente útil es que el trabajo de certificación y el regulatorio suelen necesitar este documento y no el informe original: quien audita quiere la prueba de que las vulnerabilidades identificadas se trataron, con fechas. Devolver esos resultados a la gestión de vulnerabilidades es lo que impide que el mismo hallazgo reaparezca en el ciclo siguiente, y va incluido en el trabajo de apoyo a la certificación donde hay que evidenciar un hallazgo cerrado.