El POA&M: fechas, responsables y riesgo

5 tareas · 40 min · Principiante

Lo que una evaluación halla y nadie corrige solo es un informe. El plan de acción y de hitos (POA&M) convierte cada debilidad en un compromiso: quién la corrige, hasta cuándo y con qué pasos intermedios. En NIST SP 800-53 el control CA-5 pide desarrollarlo para documentar las acciones de remediación y actualizarlo con los resultados de evaluaciones, auditorías y monitoreo. Además, el paquete de autorización de SP 800-37 incluye el POA&M junto con el plan de seguridad y los informes de evaluación. Los campos y los plazos que verás son de Eléctrica Los Arrayanes, no de la guía. Revisas su borrador, encuentras entradas que no se pueden gestionar y calculas una fecha límite.

0 de 5 · 0%

Objetivo de la sala

Una entrada de POA&M sirve si alguien puede responder por ella y si se puede ver cuándo se retrasa. Los Arrayanes exige de cada entrada la debilidad, el control, el riesgo, un responsable con nombre propio, una fecha límite, hitos con fecha y el estado. Un equipo no responde por nada: si el plazo se vence, no hay a quién preguntar.

Lee las reglas en reglas_del_poam.

Responde para continuar

¿Por qué la regla de la casa pide un responsable con nombre propio y no un equipo?

Porque el nombre propio permite pedir cuentas y decidir cuando el plazo se vence Porque la guía de evaluación prohíbe asignar entradas a más de un equipo de trabajo Porque un equipo no tiene permisos para modificar los sistemas que se corrigen

Ver pista de ayuda

Piensa en qué pasa el día en que la fecha límite se cumple y nada está hecho.

En entradas_del_poam hay cuatro entradas con su responsable. Una de ellas tiene en esa columna un grupo en vez de una persona.

Responde para continuar

Escribe el identificador de la entrada del POA&M cuyo responsable no es una persona con nombre.

Ver pista de ayuda

Ejecuta `SELECT * FROM entradas_del_poam` y mira la columna responsable.

Los hitos son los pasos intermedios que muestran avance antes de la fecha límite. La regla de la casa dice que todo hito cae antes de ella. Un hito posterior a la fecha límite es un plan que ya nace incumplido: el compromiso no se puede cumplir tal como está escrito.

Responde para continuar

Escribe el identificador de la entrada cuyo hito de avance cae después de su fecha límite.

Ver pista de ayuda

Compara fecha_limite con ultimo_hito en cada fila.

La tabla hallazgo_nuevo trae un hallazgo registrado por una verificación puntual, sin fecha límite. La regla de la casa fija el plazo máximo según el riesgo y lo cuenta desde que el hallazgo se registra. Busca el plazo que corresponde a su riesgo y súmalo a la fecha de registro.

Responde para continuar

Escribe la fecha límite del hallazgo nuevo en formato AAAA-MM-DD.

Ver pista de ayuda

Lee el riesgo de la tabla hallazgo_nuevo y el plazo de reglas_del_poam; suma los días a la fecha de registro.

El jefe de logística pide mover la fecha límite de la entrada que ya tenía el hito mal puesto. Alegar falta de tiempo no basta: la regla de la casa dice que el cambio se registra con su motivo y su aprobador, y que la fecha original no se borra. Así el plan conserva su historia y se puede medir cuánto se desvía.

Responde para continuar

¿Qué corresponde hacer con esa petición?

Registrar el motivo y el aprobador, y conservar la fecha original en el historial Rechazar toda petición de cambio de fecha porque el plan no admite modificaciones Sobrescribir la fecha con la nueva para que el plan no muestre desvíos

Ver pista de ayuda

Busca la opción que cambia la fecha sin perder el rastro de la anterior.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué hace gestionable a una entrada

2 La entrada sin responsable Lab

3 El hito que llega tarde Lab

4 Poner fecha al hallazgo nuevo Lab

5 Cuando piden mover la fecha

Whoami-Labs Pro utiliza cookies