De la norma a la política interna

Las normas no dejan el mismo margen. RA-5 deja casi todo por definir: frecuencia, plazos y destinatarios. CIS Controls fija mínimos de cadencia. ISO 27002 describe comportamientos sin cifras y CSF 2.0 describe resultados sin cómo lograrlos.

Consulta margen_de_cada_norma y compara: cuanto más deja una norma a la organización, más tiene que concretar la política. Una política que repite el texto de la norma sin cifras no baja nada a tierra.

Consulta clausulas_politica. Una cláusula medible tiene una cifra, un responsable o una condición verificable. Una que dice «con prontitud» o «cuando se considere oportuno» no se puede cumplir ni incumplir, y por eso no se puede auditar.

Entre las cláusulas que fijan plazos, hay una que no trae ninguna cifra.

Reescribir una cláusula vaga es más difícil que denunciarla, porque cada cifra nueva es una promesa que Cortijo tendrá que demostrar. Una buena reescritura nombra la cifra, el responsable y el caso en que se aplica la excepción.

Una cifra que la organización no cumple hoy es peor que una cláusula vaga: convierte una zona gris en un incumplimiento certificado.

Una de las salvaguardas de CIS pide que el proceso documentado se revise al menos una vez al año. La política de Cortijo tiene una cláusula de revisión, pero la deja sin fecha. Es la misma enfermedad de la cláusula vaga: no hay fecha que pueda vencer.

Consulta de nuevo clausulas_politica.

La última columna de clausulas_politica es una afirmación de Cortijo: dice qué norma justifica cada cláusula. Una auditoría la contrasta, porque si la cláusula afirma venir de una norma que dice otra cosa, el mapa miente.

La cláusula de escaneo de los activos expuestos a internet declara su origen en una salvaguarda de CIS. Encuentra cuál.