Cumplimiento por benchmark, qué dice un porcentaje y qué esconde

Un benchmark de configuración es un documento de consenso que lista controles con su justificación y su forma de comprobar. Se agrupan por secciones (identidad, almacenamiento, registro, red) y suelen tener perfiles de exigencia. Las herramientas lo traducen en comprobaciones automáticas, y algunos controles quedan como manuales porque dependen de un proceso humano.

La tabla resultados cruza los nueve controles del ejercicio con las tres cuentas de Chitaraque. Busca los controles que fallan en las tres cuentas a la vez: son los que apuntan a un problema de la organización, no de una cuenta.

Mirar los fallos por sección enseña más que el total. Una sección que concentra los incumplimientos señala un hueco de proceso: si la mayoría de los fallos vienen de quién entra y con qué claves, no se arregla cuenta por cuenta sino con una política de altas, segundo factor y rotación que valga para todas.

Con la tabla controles (qué sección es cada control) y resultados (cuántos FAIL tiene cada uno), cuenta los fallos por sección.

La tabla regla_de_puntaje dice cómo calcula la herramienta de ejemplo el puntaje: PASS dividido entre PASS más FAIL, con todos los controles pesando igual y sin contar los manuales. Dos cuentas pueden tener el mismo porcentaje y estar en situaciones muy distintas: una con cuatro fallos menores y otra con un fallo que deja la cuenta raíz sin segundo factor.

Los controles manuales no suben ni bajan el puntaje, pero no son opcionales: alguien tiene que comprobarlos con una revisión de la configuración, una evidencia o una entrevista. Un informe que presume de porcentaje y calla los manuales está omitiendo parte del benchmark.