Los dominios del CCM y su mapa a otros marcos

El CCM v4 reúne 197 objetivos de control repartidos en 17 dominios, que van desde la identidad y el cifrado hasta la continuidad, los registros y la cadena de suministro. Cada dominio se identifica con una sigla de tres letras. Su valor para un analista no es que sea «uno más»: es que está escrito para la nube y se usa de lenguaje común con los proveedores, que lo toman de base para sus cuestionarios.

La Cloud Security Alliance publica además correspondencias entre el CCM y otros marcos conocidos, como normas ISO o catálogos de controles del gobierno estadounidense. Esos mapas ahorran trabajo, pero tienen un límite: dos controles «equivalentes» rara vez piden exactamente lo mismo, y cumplir el de un marco no demuestra cumplir el otro sin mirar la evidencia.

Ubicar una necesidad en un dominio es el primer paso de cualquier revisión con el CCM: de él depende qué controles se miran y a qué área se le pregunta. Un error aquí no se nota hasta que la revisión sale incompleta, porque se estuvo mirando otra parte del marco.

Abre dominios_ccm y necesidades. El becario propuso un dominio para cada una de las seis necesidades. Cinco están bien ubicadas; en una, el dominio que escribió habla de otra cosa.

Mapear las políticas internas contra los dominios del CCM tiene una segunda lectura: lo que no se mapea es un hueco, o bien en la política o bien en el análisis. Una política sin dominio asignado suele ser un tema que el analista no supo dónde poner.

En politicas_de_mimbre hay una política con «—» en lugar de dominio. Léela y busca en dominios_ccm el que cubre su tema.

La otra cara del mapa es la cobertura: cuántos de los dominios del CCM no tienen ninguna política interna asignada. No todos deben tener una política propia (algunos los cubre el proveedor), pero saber cuántos son permite decidir cuáles se compran, cuáles se exigen al proveedor y cuáles se escriben.

Cuenta los dominios de dominios_ccm cuya sigla no aparece en la columna dominio_asignado de las políticas, sin contar el «—». Una sigla repetida solo cuenta una vez.