Del control escrito a la regla comprobable

Un control escrito pasa a ser una regla comprobable cuando se puede responder, con un dato leído de un sistema, si hoy se cumple. Para eso hacen falta cuatro piezas: qué se lee (un archivo de configuración, el estado de un servicio, una lista de cuentas), sobre qué objeto, qué condición se evalúa y qué valor se espera.

Herramientas como OpenSCAP o InSpec no inventan esas piezas: las ejecutan. Si el control no las trae, alguien tiene que decidirlas antes, y esa decisión es la que importa para el auditor, porque la regla es ahora la interpretación oficial del control.

Abre controles_escritos y reglas_candidatas y observa qué piezas aparecen en cada regla.

Palabras como «adecuadamente», «razonable» o «oportunamente» son valiosas en una política porque dejan margen de juicio, pero ninguna herramienta puede evaluarlas. Si un control las usa en lugar de una condición, la automatización no puede empezar: o se reescribe con un criterio medible, o se deja como control de revisión humana y se dice así.

Lee la columna texto_del_control y busca el texto en que no hay ni un valor, ni un estado, ni un plazo que una máquina pueda leer.

Una regla puede salir en verde y aun así no demostrar el control, porque comprueba menos de lo que el control dice. Es la forma más común de que la automatización «relaje» una política sin que nadie lo apruebe: quien escribe la regla escoge un umbral cómodo.

Compara, control por control, el valor que pide el texto con el valor_esperado de su regla. La comparación es lo que hace el revisor: el resultado de la regla no dice nada si su umbral no es el del control.

La segunda forma de regla floja es la que comprueba que algo existe o está encendido cuando el control pedía algo sobre su comportamiento. Que un servicio esté activo no dice a dónde apunta, con qué datos trabaja ni si cumple la condición del control. Pasa en un servidor que incumple.

Lee que_lee y condicion de cada regla y pregúntate qué servidor incumpliría el control y, aun así, pasaría la regla.