Escenario: migración de Radio Cumbre a la nube

Los dos sistemas que van a servidores virtuales y almacenamiento son los de más peso en la emisora. La política dice que los controles del cliente son los que la matriz asigna al cliente para el tipo de servicio contratado. Interesa saber cuántos de esos controles quedan íntegros del lado de la emisora, sin reparto, en el tipo de servicio de esos dos sistemas.

El extracto del CAIQ dice quién responde de cada control en la base de datos administrada. Casi todo coincide con lo que la matriz asigna para ese tipo de servicio. Un control, sin embargo, aparece con un responsable distinto del que la matriz le da, y es un control de la emisora: si se acepta lo que dice el cuestionario, nadie lo hará.

La política exige, para los sistemas de criticidad Alta, un STAR Nivel 2 vigente al corte y con el servicio dentro del alcance. Hay dos sistemas de criticidad Alta, y los dos proveedores correspondientes figuran en la tabla. Uno cumple todo; en el otro, la evidencia está vigente pero no cubre el servicio que se quiere contratar.

La política pide que todo subprocesador con acceso a datos personales esté autorizado antes de empezar. En la lista hay varios subprocesadores que tocan datos de oyentes; todos están en regiones permitidas. Solo uno falla la regla de la autorización.

El comité no decide con tablas, decide con una recomendación. Tiene que poder responder a tres preguntas: qué controles asume la emisora, qué falta del lado de los proveedores y qué se condiciona antes de empezar. Una recomendación que no nombra los controles propios no sirve; una que prohíbe todo sin razones tampoco.