Madurez de seguridad por dominio

Una autoevaluación es lo que la empresa cree de sí misma. En una compra, quien vende tiene motivos para ser optimista y, a veces, para no saber la verdad. Por eso la revisión mide la madurez con evidencia: el mismo dominio, calificado con la misma escala, pero solo con lo que se pudo ver en un documento, una exportación o un acta.

La escala de esta sala es interna del comprador (cinco niveles, de 0 a 4); marcos como NIST CSF 2.0 ordenan la seguridad en seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar), y esta revisión las mira por dominios de trabajo para hablar con el comité.

Una brecha pequeña es normal: casi toda autoevaluación peca de generosa. Una brecha grande dice algo más serio: o el vendedor no sabe lo que tiene, o prefiere no mirarlo. Se calcula restando, en cada dominio, el nivel con evidencia a la autoevaluación.

Abre madurez_por_dominio y calcula la brecha de los siete dominios.

La evidencia tiene fecha de vencimiento. Una revisión de accesos de hace dos años dice cómo estaban los accesos hace dos años. El comprador fijó que una evidencia con más de 12 meses de antigüedad al corte no cuenta, y el corte de este caso es el 31 de agosto de 2027.

Abre evidencia_revisada y compara cada fecha con el límite. Una está muy cerca del borde, pero dentro.

Los mínimos son la vara del comprador. Un mínimo general de 2 y uno más exigente, de 3, en dos dominios donde un fallo duele más al comprador. Un dominio por debajo de su mínimo es un hallazgo; la cuenta de cuántos son dice qué tan lejos está Rompiente del estándar que Alcaparro espera.

Abre minimos_del_comprador y compara con la columna nivel_con_evidencia; no uses la autoevaluación.

Que un dominio esté bajo su mínimo no dice por sí solo dónde va el hallazgo. Si la brecha se cierra con trabajo propio del comprador, en semanas y con costo conocido, va al plan de integración. Si ya expone dinero o datos ajenos y su costo es incierto, se traslada a la negociación: precio, retención o condición previa. Y si es un daño que ya ocurrió, hay que entender qué pasó antes de decidir.