Catálogo y perfil, leer una selección de controles

Un catálogo guarda controles completos: cada uno con su identificador, su título, su enunciado, sus parámetros abiertos y, a veces, su guía. Es una biblioteca; no dice cuáles se usan. El NIST publica en OSCAL, en su repositorio de contenido, los catálogos de la serie SP 800-53, así que una organización puede importarlos en lugar de transcribirlos.

Un perfil es una selección sobre uno o más catálogos. No copia los controles: los importa por referencia (imports), elige cuáles entran (include-controls con sus with-ids, o include-all) o cuáles salen (exclude-controls), y puede modificar (modify) lo importado, por ejemplo fijando el valor de un parámetro (set-parameters).

El perfil de Villa Cedro usa include-all y le resta una lista con exclude-controls. Eso significa que lo que queda es el catálogo entero menos lo excluido, y para saber cuántos controles aplican hay que contar, no leer una cifra.

Consulta SELECT * FROM catalogo_basico_vc y SELECT * FROM perfil_linea_base_vc.

Los parámetros son huecos que el catálogo deja abiertos a propósito: cuántos días de inactividad, con qué frecuencia. El catálogo propone un valor por defecto; el perfil lo sustituye con el valor que adopta la organización. Para saber qué se exige de verdad hay que leer el valor del perfil, no el del catálogo.

Consulta SELECT * FROM parametros_del_catalogo y compara con SELECT * FROM perfil_linea_base_vc.

Excluir un control no lo elimina del catálogo: solo lo saca de esta línea base. Quien lee el perfil debería poder entender por qué, pero el modelo del perfil no obliga a decirlo; si la razón no está en las notas o en un documento aparte, hay que pedirla.

Revisa la lista de exclusión del perfil y su título en el catálogo.

Una exclusión sin explicación es un hueco que alguien tendrá que justificar ante una auditoría. Si en la lista aparecen controles excluidos, el criterio profesional es que cada exclusión deje constancia de su razón y de quién la aprobó, aunque el archivo del perfil no lo exija.