Controles comunes, heredados e híbridos

Un control común es el que una organización implementa una sola vez y que ofrece capacidad de seguridad a varios sistemas; quien lo provee es el proveedor del control común. El sistema que se beneficia de él lo hereda: no lo implementa, pero responde de haberlo recibido. Un control específico del sistema lo implementa el propio sistema. Un control híbrido está partido: una parte es común y otra es del sistema.

Los controles de la familia de gestión del programa (PM) son un caso especial: se aplican a toda la organización y no forman parte de las líneas base de un sistema concreto.

La tabla linea_base_del_visor lista los 14 controles de la línea base del Visor de Mapas Públicos con su tipo y quien los provee. Hay comunes (heredados de un proveedor), específicos y un híbrido. Para el híbrido, otra tabla explica cómo se reparten las partes.

Un sistema no puede heredar un control solo porque lo desea. El proveedor debe ofrecerlo y documentarlo, normalmente en un contrato, un anexo o una declaración, y el responsable del sistema debe confirmarlo en su propio plan. Heredar sin ofrecimiento es una brecha disfrazada: el plan dice «cubierto» y nadie lo opera.

El Visor hereda cinco controles; tres vienen del proveedor de alojamiento. Compara la tabla linea_base_del_visor con anexo_del_proveedor.

Heredar reduce el trabajo del equipo, pero no lo elimina: los controles específicos siguen siendo suyos de principio a fin, y del híbrido le queda su parte. Para planificar capacidad y evidencia, el responsable del sistema necesita saber cuántos controles tiene que implementar y evidenciar por completo por sí mismo, sin contar los heredados ni la parte del híbrido.

Al revisar el plan del Visor, el responsable del sistema dice: «Los cinco controles comunes ya están cubiertos, no tengo que hacer nada con ellos». Hay un error de enfoque aunque el proveedor sea fiable.