El paquete de autorización

El paquete de autorización reúne tres cosas y suele añadir una cuarta. El plan de seguridad dice cómo está diseñado y protegido el sistema. El informe de evaluación dice, control por control, qué encontró el evaluador. El plan de acción y de hitos (POA&M) lista cada debilidad que se va a corregir, con responsable, recursos y fecha. Un resumen ejecutivo (la lista de la casa lo pide) traduce todo eso para quien decide, que no leerá doscientas páginas.

El POA&M es la pieza que hace honesta a la autorización: el autorizador no acepta un sistema perfecto, acepta un riesgo residual conocido, y esa lista es lo que dice cuál es.

Antes de leer el contenido, se comprueba que el paquete esté completo. Cada pieza ausente es una pregunta que el autorizador no puede contestar. Compara lo que el procedimiento exige con lo entregado en SELECT * FROM contenido_del_paquete.

Cada hallazgo que no se corrige antes de la decisión debe tener su entrada en el POA&M; si no, nadie lo recuerda ni lo vigila. Cruza SELECT * FROM hallazgos_de_la_evaluacion con SELECT * FROM poam y busca el hallazgo que el POA&M ignora.

Una entrada del POA&M sin responsable ni fecha es una promesa de nadie. La lista existe para que alguien responda: sin nombre y sin plazo, el autorizador no sabe si el riesgo se reducirá algún día.

Con un riesgo Alto sin entrada de corrección y un resumen ejecutivo pendiente, el autorizador no tiene lo que necesita. Repasa las salidas con SELECT * FROM decisiones_posibles. La decisión de autorizar significa aceptar un riesgo residual, y solo se puede aceptar un riesgo que se conoce.