Líneas base y por qué se adaptan

La elección de la línea base empieza por categorizar: para cada tipo de información del sistema se estima el impacto de perder su confidencialidad, su integridad y su disponibilidad, con tres niveles: bajo, moderado y alto. El nivel del sistema es el más alto de todos esos valores, la llamada «marca de agua más alta». Un solo valor alto en una sola propiedad de un solo tipo de información sube el nivel de todo el sistema.

La razón es práctica: los controles de un sistema protegen a todos sus datos a la vez, y el eslabón más expuesto fija cuánto hay que protegerlos. Esa categorización sigue el método del estándar federal FIPS 199, que SP 800-53B toma como punto de partida.

En la tabla tipos_de_informacion están los dos sistemas del instituto con sus tipos de información y los tres impactos de cada uno. Aplica la regla de la tarea anterior al Registro de Predios, que guarda solicitudes de certificados y los títulos y gravámenes de los predios.

Subir de línea base rara vez cambia el control base; casi siempre agrega mejoras. El control AC-2 existe en las tres líneas, pero con más mejoras cuanto más alto el impacto; AC-6 (mínimo privilegio) ni siquiera aparece en la línea baja. La tabla del instituto es una copia de trabajo del contenido de SP 800-53B. Para cualquier decisión real hay que contrastarla con la publicación.

Cuenta, no estimes: en la tabla las mejoras están listadas una por una dentro de cada celda.

La línea base es un punto de partida pensado para un sistema genérico de ese nivel. El Visor de Mapas Públicos no tiene móviles ni contratos con el exterior que sí tenían en mente quienes la diseñaron. Aplicar todo sin mirar produce controles que no tienen nada que proteger y deja sin cubrir lo propio del sistema.

SP 800-53B describe seis acciones de adaptación (tailoring): designar controles comunes; aplicar consideraciones de alcance; elegir controles compensatorios; asignar valores a los parámetros; complementar la línea base con controles o mejoras adicionales; y dar especificaciones adicionales de implementación.

Cada fila de adaptaciones_del_visor usa una de las seis acciones. Distinguirlas importa porque cada una exige una justificación distinta: un control común pide el ofrecimiento del proveedor; un compensatorio, el control que compensa y por qué; una consideración de alcance, la prueba de que el componente no existe o no se usa.