Definición de componente y controles heredados

4 tareas · 38 min · Principiante

Un sistema no cumple los controles de golpe: los cumplen sus piezas. La hospedería, la aplicación, el directorio de usuarios. OSCAL deja describir una vez lo que cada pieza implementa para reutilizarlo en cada plan que la use, y deja anotar quién cumple qué cuando una parte la pone un tercero. En esta sala lees las definiciones de componente del Municipio de Villa Cedro y las cruzas con los controles del perfil para ver qué está cubierto, qué lo cumple un proveedor y qué no lo cumple nadie. Es lectura de fragmentos ficticios.

0 de 4 · 0%

Objetivo de la sala

Una definición de componente (component-definition) describe una o varias piezas (components) y, para cada una, qué controles implementa (control-implementations, con sus implemented-requirements). Quien la escribe suele ser quien conoce la pieza: el fabricante, el proveedor del servicio o el equipo que la opera. Su valor es que se escribe una vez y se reutiliza: cualquier sistema que incluya esa pieza puede partir de lo que ya está dicho, en lugar de redactarlo de nuevo.

Lo que la definición declara es lo que la pieza ofrece, no lo que un sistema concreto logró con ella. Eso va en el plan del sistema.

Responde para continuar

¿Para qué sirve una definición de componente?

Para registrar los hallazgos de la evaluación de cada control Para elegir qué controles del catálogo aplican a una organización según su nivel de riesgo Para describir una vez lo que una pieza implementa y reutilizarlo en cada plan

Cuando una pieza la opera un tercero, parte de los controles los cumple él y no el municipio. A eso se le llama herencia o responsabilidad compartida: el sistema depende de lo que el proveedor hace y debe poder decirlo, citarlo y, cuando corresponda, pedir su evidencia. La columna quien_lo_cumple lo anota para cada fila.

Consulta SELECT * FROM componentes y SELECT * FROM implementaciones_por_componente.

Responde para continuar

Escribe el identificador del control de acceso físico a salas técnicas, que cumple el proveedor.

Ver pista de ayuda

Busca en las filas del componente que opera el proveedor la que tiene ese título de control.

Un perfil dice qué hay que cumplir; las definiciones de componente dicen qué cubre cada pieza. Restando lo segundo de lo primero aparecen los controles sin dueño: los que el perfil exige y ninguna pieza declara. No son necesariamente un incumplimiento (puede ser un control de proceso, como una política, que no vive en ninguna pieza), pero son lo primero que hay que aclarar.

Consulta SELECT * FROM controles_del_perfil y compáralo con la columna de controles de implementaciones_por_componente.

Responde para continuar

¿Cuántos controles del perfil no tiene ningún componente que los implemente?

Ver pista de ayuda

Cuenta los nueve controles del perfil y marca cuáles aparecen al menos una vez en las implementaciones; cada control cuenta una sola vez aunque lo declaren dos componentes.

Algunos controles no se cumplen del todo en un solo lugar. El cifrado en tránsito aparece declarado por dos componentes: el proveedor cifra el tramo que él controla y la aplicación exige la conexión cifrada del suyo. No es una duplicación ni un conflicto: son dos mitades de una misma obligación, y el plan del sistema tiene que recogerlas ambas.

Responde para continuar

Un control aparece en dos componentes, uno del proveedor y otro del municipio, con descripciones distintas. ¿Cómo se lee?

Como una parte que cubre cada uno, y el plan debe recoger las dos y su responsable Como una contradicción, de modo que se debe borrar la fila de uno de los dos componentes Como una repetición inofensiva: basta con que lo declare uno de los dos

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Describir una pieza una sola vez

2 La parte que pone el proveedor Lab

3 El control que nadie cubre Lab

4 Un control, dos partes Lab

Whoami-Labs Pro utiliza cookies