Los tres métodos y su profundidad

5 tareas · 40 min · Principiante

Evaluar un control no es preguntar si existe: es decidir qué hacer para comprobarlo y con cuánto esfuerzo. NIST SP 800-53A, en su revisión 5 de enero de 2022, reduce el trabajo del evaluador a tres métodos, examinar, entrevistar y probar, que se aplican a cuatro tipos de objetos y con una profundidad y una cobertura que fija la organización. Eléctrica Los Arrayanes va a evaluar el control de gestión de cuentas de su sistema de gestión de medidores. Clasificas lo que hizo el evaluador, reconoces los objetos y calculas cuántas cuentas debe mirar. Todo es lectura de papeles ficticios: no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

La guía define los métodos por lo que hace el evaluador:

Examinar: revisar, inspeccionar, observar o estudiar documentos, mecanismos y actividades.
Entrevistar: conversar con personas o grupos de personas.
Probar: ejercitar un mecanismo o una actividad bajo condiciones fijadas y comparar el estado real con el esperado.

Los tres producen evidencia, pero no valen lo mismo para todo: un documento dice qué debería ocurrir, una persona cuenta qué cree que ocurre y una prueba muestra qué ocurre cuando se la provoca.

Responde para continuar

El evaluador quiere comprobar que lo que la mesa de ayuda cuenta sobre las bajas coincide con lo que dice el procedimiento. ¿Qué método usa para obtener lo que la mesa de ayuda cuenta?

Probar, porque cualquier cosa que se pregunte a alguien se pone a prueba Entrevistar, porque se trata de conversar con quien aplica el procedimiento Examinar, porque una persona que habla de su trabajo está dando una especificación

Ver pista de ayuda

Piensa en quién produce la información, un documento, un sistema o una persona.

En la tabla acciones_del_evaluador hay cinco acciones del cuaderno de un evaluador autorizado. Una sola ejercita un mecanismo en condiciones fijadas y compara lo ocurrido con lo esperado. Las demás leen, observan o preguntan.

Responde para continuar

Escribe el identificador de la acción que corresponde al método probar.

Ver pista de ayuda

Ejecuta `SELECT * FROM acciones_del_evaluador` y busca la que provoca un comportamiento y lo compara.

Los métodos se aplican a objetos de evaluación: las especificaciones (documentos como políticas, planes y procedimientos), los mecanismos (hardware, software o firmware que implementa el control), las actividades (acciones de personas, como un respaldo o un ejercicio) y los individuos (las personas que aplican todo lo anterior). Entrevistar se aplica a individuos; probar, a mecanismos y actividades.

En la tabla objetos_de_evaluacion cada objeto trae su tipo.

Responde para continuar

Escribe el objeto de evaluación cuyo tipo es individuo.

Ver pista de ayuda

Ejecuta `SELECT * FROM objetos_de_evaluacion` y mira la columna del tipo.

Cada método tiene dos atributos que definen el esfuerzo. La profundidad es el rigor y el nivel de detalle con que se examina, entrevista o prueba; la cobertura es el alcance: cuántos objetos y de qué tipos. Ambos toman los valores básica, focalizada e integral, cada uno incluyendo al anterior. La guía no fija un valor universal: la organización lo elige según la garantía que necesita, y suele crecer con el impacto del sistema.

Responde para continuar

Una evaluadora pasa de revisar 5 cuentas a revisar 60 con el mismo tipo de comprobación. ¿Qué atributo ha subido?

La cobertura, porque ahora se comprueban muchos más objetos que antes La profundidad, porque ahora el rigor de cada comprobación es mayor Los dos, porque revisar más cuentas siempre exige más detalle en cada una

Ver pista de ayuda

Cuenta qué cambió, cuánto se mira cada cosa o cuántas cosas se miran.

Los Arrayanes escribió su criterio propio para traducir el impacto del sistema en profundidad y cobertura (no es una cifra de la guía, es de la casa). La tabla criterio_de_la_casa lo da, y sistema_evaluado dice el impacto del sistema y cuántas cuentas tienen acceso.

Aplica el criterio al sistema de gestión de medidores y obtén el número de cuentas que la evaluación debe cubrir.

Responde para continuar

Escribe cuántas cuentas debe cubrir la evaluación del control de gestión de cuentas.

Ver pista de ayuda

Busca el impacto del sistema y aplica su porcentaje al total de cuentas.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Tres métodos, tres verbos

2 La acción que es una prueba Lab

3 Los cuatro tipos de objetos Lab

4 Profundidad y cobertura

5 Cuántas cuentas mirar Lab

Whoami-Labs Pro utiliza cookies