Escenario, línea base moderada para Observatorio Andino de Datos

Dos adaptaciones designan controles comunes que el observatorio hereda de su proveedor de alojamiento. La responsable de seguridad las presenta como el mismo caso.

Dos adaptaciones sacan un control de la línea por una consideración de alcance: sostienen que lo que el control protege no existe en el sistema. Un alcance se sostiene cuando la evidencia lo muestra.

El observatorio adoptó una superposición con mínimos para tres controles. Cuatro adaptaciones son valores de parámetro; solo una de ellas se aparta de lo que la superposición pide.

Un control compensatorio sustituye a otro que no puede aplicarse tal cual y debe nombrar el control que lo reemplaza y qué riesgo cubre. Dos adaptaciones usan esa acción.

Una de las adaptaciones, la de longitud mínima de contraseña, tiene evidencia buena y un valor que cumple la superposición, pero la columna de aprobación dice «Sin aprobar». La responsable de seguridad pide que se dé por buena para ahorrar tiempo en la reunión.