Anatomía de un control y sus mejoras

5 tareas · 40 min · Principiante

El catálogo de controles de seguridad y privacidad de NIST, la publicación SP 800-53, es la lista más usada para decir qué debe hacer un sistema del sector público estadounidense, y también la que consultan contratistas, bancos y organismos de otros países como referencia. Antes de elegir controles hay que saber leerlos. Aquí desarmas uno: su enunciado, sus parámetros, su discusión y sus mejoras, sobre el plan de controles del Instituto Cartográfico Tierra Firme, un instituto público que publica mapas y expide certificados de predios.

0 de 5 · 0%

Objetivo de la sala

El catálogo de NIST SP 800-53 en su revisión 5 (septiembre de 2020, con la versión 5.2.0 de agosto de 2025) se organiza en 20 familias de dos letras: Control de acceso (AC), Auditoría y rendición de cuentas (AU), Gestión de la configuración (CM), Protección de sistemas y comunicaciones (SC), Cadena de suministro (SR), entre otras. Cada familia contiene controles con un identificador como AC-2.

Un control tiene un enunciado (lo que hay que lograr), parámetros (huecos que cada organización llena), una discusión de apoyo, mejoras y una lista de controles relacionados. Una mejora de control se escribe entre paréntesis tras el identificador del control base y agrega capacidad o refuerza lo que el control base ya pide. No existe sin su control base: es un escalón sobre él.

Mira en la consola la tabla partes_de_un_control y lee en qué se diferencian las cinco partes.

Responde para continuar

¿Qué es una mejora de control en el catálogo, por ejemplo AC-2(1)?

Un control independiente de otra familia que se pega al base solo por razones de orden alfabético Una capacidad que refuerza el control base y se numera entre paréntesis tras su identificador Una versión antigua del control base que se conserva solo para sistemas del sector público

Ver pista de ayuda

Piensa en si una mejora podría existir sin el control base al que refuerza.

AC-2 es el control de gestión de cuentas: quién puede tener una cuenta, quién la aprueba y cómo se revisa. Su enunciado básico no menciona automatización ni plazos finos; eso lo agregan las mejoras, cada una con su número. El instituto estudia seis de ellas.

Para cada mejora, la tabla da el nombre y lo que agrega. El nombre ayuda, pero lo que manda es lo que agrega.

Responde para continuar

Escribe el identificador de la mejora de AC-2 que exige cerrar la sesión tras un periodo sin uso.

Ver pista de ayuda

Ejecuta `SELECT * FROM mejoras_de_ac2` y lee la columna que_agrega.

Un parámetro es un hueco del enunciado que la organización debe llenar. Hay dos formas: la asignación (la organización escribe un valor, por ejemplo un periodo) y la selección (elige entre opciones que el control da). Mientras el parámetro no tiene valor, el control no se puede implementar ni evaluar: no se sabe cuánto es «suficiente».

Los valores no vienen de NIST: los decide cada organización según su riesgo y su regulación, y se escriben en el plan. En la tabla parametros_de_ac2 están las decisiones del instituto para dos mejoras.

Responde para continuar

Escribe, con su unidad, el plazo de inactividad que el instituto fijó para deshabilitar una cuenta.

Ver pista de ayuda

Ejecuta `SELECT * FROM parametros_de_ac2` y busca el parámetro de inactividad.

Suponte que el plan del instituto dice «AC-2(3): implementada» pero en la casilla del plazo de inactividad no hay nada escrito. El enunciado del control sigue con su hueco.

Responde para continuar

¿Cómo se trata esa declaración al revisar el plan?

Se acepta, porque el nombre de la mejora ya basta para saber qué plazo se quiso decir en la práctica Se acepta, siempre que el equipo técnico recuerde de memoria el plazo que aplica en la práctica No se puede evaluar: falta el valor del parámetro y sin él no hay criterio para decir si se cumple

Ver pista de ayuda

Una evaluación compara lo hecho con un criterio escrito.

Las mejoras se apoyan en el control base: automatizar las cuentas (mejora) sirve de poco si el proceso de gestión de cuentas (base) no existe. Al leer una declaración, cruza cada mejora con su control base. Un plan en que la mejora está «implementada» y la base «no implementada» se contradice a sí mismo.

Responde para continuar

Escribe la mejora que el instituto declaró implementada mientras su control base figura como no implementado.

Ver pista de ayuda

Ejecuta `SELECT * FROM declaracion_del_instituto` y compara cada mejora con la fila de su control base.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué es una mejora de control Lab

2 Leer una mejora Lab

3 El hueco del parámetro Lab

4 Un parámetro sin valor Lab

5 La mejora sin su base Lab

Whoami-Labs Pro utiliza cookies