Perfiles de las STIG

Una STIG clasifica cada requisito en una de tres categorías. CAT I es la más grave: el incumplimiento que abre la puerta de forma más directa. CAT II debilita la defensa pero suele necesitar una cadena de condiciones. CAT III degrada la higiene o la vigilancia. No es una puntuación numérica: es un orden de atención. Se lee en la tabla categorias.

Un perfil de evaluación es una selección con nombre de las reglas de la lista. No cambia las reglas: cambia cuáles se evalúan. Los perfiles de la tabla perfiles_del_ejercicio están inventados para esta sala: PF-MEDIA elige las reglas CAT I y CAT II. La tabla reglas lista diez reglas con su categoría.

Cuenta cuántas de esas diez reglas se evalúan si el servidor usa el perfil PF-MEDIA.

En una lista de comprobación cada regla acaba en uno de cuatro estados: Open (el sistema no cumple), NotAFinding (cumple), Not_Applicable (la regla no aplica a este sistema) y Not_Reviewed (nadie la ha revisado todavía). La tabla lista_de_comprobacion trae el de cada regla del servidor cah-bd-01.

Une las dos tablas y cuenta cuántas reglas CAT I siguen en estado Open.

Una regla CAT I sin revisar es la peor combinación de la lista: grave y desconocida. No se puede contar como cumplida y tampoco como un hallazgo confirmado: es trabajo pendiente. Búscala.

Cuando un informe resume una lista con reglas Not_Reviewed, el porcentaje de cumplimiento puede inflarse si esas reglas se omiten del divisor. Las reglas de comprobación manual suelen ser las que quedan sin revisar, porque ninguna herramienta las contesta sola.