Diseñado contra operando

Ante cualquier control, el auditor hace dos preguntas separadas. Una: ¿está bien diseñado? —es decir, si operara como dice, ¿trataría el riesgo? Dos: ¿opera de verdad? —¿está puesto en el sistema y hace lo que promete en el periodo revisado? Las dos hacen falta. Un control mal diseñado no sirve aunque opere; uno bien diseñado que no opera tampoco. Confundirlas lleva a dar por bueno un control porque «está en la política», que es exactamente el error que esta ruta entrena a no cometer.

Separar diseño de operación es lo que convierte «tienen una política de contraseñas» en «la política existe, pero el sistema no la aplica».

La política de contraseñas de Cumbre está bien diseñada: exige rotar las contraseñas cada 90 días, que es una decisión razonable. Pero al abrir la configuración del sistema de identidad, la caducidad está puesta en 365 días. El control está diseñado y no opera: existe en el papel y el sistema hace otra cosa. El hallazgo se escribe con las dos piezas al lado, porque es lo que lo hace innegable: «el control de rotación falla porque la política fija 90 días y el sistema tiene configurados 365».

Poner la regla y la configuración una junto a la otra es la forma del hallazgo que un auditor no puede discutir: no es una opinión, son dos valores que no coinciden.

Cumbre tiene una política que prohíbe las cuentas compartidas —cada persona, su usuario, para que toda acción tenga un responsable. En el diseño, correcto. Pero en el sistema hay una cuenta admin llamada opsadmin que usan cuatro personas del turno de operaciones con la misma contraseña. El control de responsabilidad individual está diseñado y no opera: si esa cuenta hace algo, no hay forma de saber cuál de las cuatro fue. El hallazgo cruza, otra vez, lo escrito con lo configurado.

Una cuenta compartida rompe la trazabilidad justo donde más se necesita —en las acciones de administración—, y ninguna política que la prohíba sirve si el sistema la tiene viva.

La verificación del módulo no se aprueba leyendo: se aprueba sacando un dato del sistema. Abre la configuración de identidad de Cumbre y pide la tabla completa, la que pone lo declarado junto a lo operado fila por fila. El resultado, donde se ve el desajuste de la caducidad, lleva anotado un código de la sala.