Biblioteca de marcos y mapeos pre-hechos, calidad y límites

Una biblioteca de marcos es una carga de requisitos o controles (por ejemplo el Anexo A de la ISO/IEC 27001 o los controles de CIS) con su numeración, su texto y a veces una tabla de correspondencias hacia otros marcos. La comunidad que mantiene la plataforma la publica y la actualiza; la empresa la importa.

Ese origen es su fortaleza y su límite. Nadie en la empresa transcribió nada, así que nadie conoce de memoria qué edición trajo ni cuándo se cargó. Y el texto de una norma protegida suele cargarse como título o paráfrasis, no como reproducción completa: para citarlo con exactitud hay que ir a la norma oficial.

La auditoría de Piedra Viva es contra la edición 2022 del Anexo A, que reorganizó los controles en cuatro temas y suma 93 controles. La edición anterior, de 2013, tenía 114 controles en 14 dominios. Un equipo que trabaja con la edición vieja puede llenar su declaración de aplicabilidad con números que ya no existen.

Consulta SELECT * FROM biblioteca_cargada y compara la versión de cada entrada con la que exige la auditoría.

Un mapeo pre-hecho declara cómo se corresponde un control con otro. Hay tres grados habituales: equivalente (cumplir uno implica cumplir el otro), parcial (cumplir uno cubre una parte del otro) y relacionado (tratan el mismo tema sin que uno implique al otro). Es una opinión de quien armó la tabla, y varía según quien la lea.

Cada mapeo trae una columna que dice si una persona de la empresa lo revisó. Un mapeo sin revisión sirve para orientarse, pero no para firmar un informe.

Consulta SELECT * FROM mapeo_prehecho.

La relación declarada importa tanto como el mapeo. Si tratas un mapeo relacionado como si fuera equivalente, declaras cumplido en un marco algo que solo tocó el mismo tema en otro. El error es común porque la pantalla muestra una flecha entre dos controles y el ojo la lee como igualdad.

Vuelve a SELECT * FROM mapeo_prehecho y ubica el único que no promete ni equivalencia ni cobertura parcial.

Piedra Viva usa el mapeo MP-02 para decir que su copia de seguridad diaria cubre el control del Anexo A y el de CIS a la vez. La tabla controles_propios muestra el control propio asociado, con la fecha de su última evaluación.

El mapeo ahorra trabajo en una cosa: te dice dónde mirar. No ahorra la evidencia. Para afirmar cobertura cruzada hay que comprobar que la prueba del control propio satisface los dos requisitos, cada uno en sus términos, y registrar quién lo comprobó.