CIS Control 7 salvaguarda por salvaguarda

El control 7 se divide en siete salvaguardas. Dos son de proceso: tener un proceso documentado de gestión y una estrategia de remediación basada en riesgo. Dos son de parcheo automatizado: el del sistema operativo y el de las aplicaciones. Dos son de escaneo: el de los activos internos y el de los expuestos a internet. La última es remediar lo que se detecta.

Consulta salvaguardas_cis7 y lee las siete con su cadencia mínima. La expresión «o más frecuente» va implícita: escanear cada semana cumple una salvaguarda que pide cada trimestre.

Las dos primeras salvaguardas se confunden. La primera pide que exista un proceso de gestión de vulnerabilidades por escrito y que se revise cada año o cuando haya cambios importantes en la empresa: es el documento que dice quién hace qué. La segunda pide una estrategia de remediación basada en riesgo, con revisiones más frecuentes: es el criterio con que se decide qué se arregla primero y cuándo.

Un proceso excelente sin estrategia de remediación deja a los equipos sin criterio; una estrategia sin proceso deja a todos sin responsabilidades.

Consulta comparacion: pone la cadencia mínima de cada salvaguarda al lado de la cadencia real de Cortijo. Una práctica más espaciada que el mínimo incumple esa salvaguarda; una igual o más frecuente, no.

Fíjate en el orden de las cadencias: semanal es más frecuente que mensual, mensual más que bimestral y bimestral más que trimestral.

Un incumplimiento rara vez viene de una mala intención. Casi siempre viene de una práctica heredada. Consulta practica_cortijo y lee la descripción de cada fila: una de ellas depende de que cada equipo recuerde actualizar a mano, y la cadencia real se resiente.

Encontrar la salvaguarda no es lo importante: lo importante es entender por qué el hábito produce la brecha, porque eso es lo que se corrige.

Cortijo escanea sus activos internos cada semana y la salvaguarda pide, como mínimo, cada trimestre. A veces alguien lee ese 13 a 1 como un exceso que habría que «ajustar a la norma» para ahorrar licencias. No lo es.