Compensatorios y quién firma

Un control compensatorio sustituye a otro que no se puede implementar a tiempo. No es una excusa para no cumplir: tiene que lograr el mismo objetivo, dar un nivel de defensa comparable, no ser un control que ya se exigía por otro motivo y poder probarse antes de salir. Se documenta con su fecha de caducidad, que es la del cierre definitivo.

Esto mismo es la «gobernanza» del riesgo de la que habla NIST CSF 2.0 con su función Govern: alguien decide, con criterios escritos, qué se acepta y qué no, y lo deja por escrito.

R-03 se puede reducir a una fracción con un cambio de una hora en la puerta de entrada, sin esperar a que la app móvil deje de enviar la tarjeta a Almenara. La configuración exportada tiene varios parámetros de registro activados, y no todos tocan datos sensibles: uno guarda el cuerpo de las peticiones, otro las cabeceras con la sesión enmascarada.

No se corta lo que no está causando el problema: se apaga el parámetro que escribe lo que no debe escribirse, y solo ese.

Un compensatorio no baja el riesgo por existir: lo baja cuando hay evidencia de que opera. El retest de la prueba de penetración probó la regla en la puerta con 40 intentos cruzados, y deja un detalle que no se puede pasar por alto: el acceso directo desde la red de producción sigue sin comprobar. La regla cubre el camino público; el rediseño cubrirá el resto.

Con esa evidencia, la probabilidad se ancla en el nivel de «vector conocido y control que opera con prueba». El impacto no cambia: lo que se expone, si algo falla, es lo mismo.

Aceptar un riesgo es una decisión de quien responde por él, y la tabla de criterios dice quién según el nivel. R-04, la caída del enlace con el sistema de laboratorio, no tiene un control que opere ni se puede resolver antes del lanzamiento: hay un solo túnel y el respaldo no se contrata en diez días. Si se decide aceptarlo tal cual está, alguien lo firma, y ese alguien depende del número.

Escribe el rol tal como aparece en la tabla de criterios de aceptación.

El plan de tratamiento no es una lista de buenos deseos: cada medida tiene una fecha más temprana posible y un dueño. La regla de aceptación dice que un riesgo crítico con datos de salud o de tarjeta no se acepta antes de un lanzamiento si puede cerrarse con un cambio de menos de una semana. Lo que no tiene fecha anterior al 12 se acepta con fecha de cierre y dueño; lo que sí la tiene, se hace antes.