Atestación

La atestación no es lo mismo que la evidencia. La evidencia muestra el hecho; la atestación es alguien poniendo su nombre detrás de una conclusión sobre ese hecho. Su valor depende por completo de tres cosas: quién firma, qué independencia tiene respecto de lo atestado y qué alcance declara.

En la práctica comercial se usa mucho para evitar entregar el informe completo: en lugar de compartir un pentest con rutas internas y vulnerabilidades sin corregir, se entrega una carta que confirma que se realizó, en qué fechas, con qué alcance y con qué resultado global. Es una solución razonable siempre que la carta acote el alcance con precisión.

Una atestación que dice «la plataforma ha sido auditada y es segura» no aporta nada. Una que dice «entre el 4 y el 15 de marzo de 2026 se auditaron los componentes X e Y; los hallazgos de severidad alta se cerraron el 2 de abril y se verificaron mediante reprueba» es utilizable.