Mapear entre marcos sin engañarse

Un mapeo dice que dos elementos de marcos distintos tratan de lo mismo, total o parcialmente. Casi nunca es uno a uno: una subcategoría de CSF puede corresponder a varias salvaguardas de CIS, y un control de CIS puede aportar a varias subcategorías. Por eso un mapeo bien hecho trae la correspondencia y su grado, y quien lo lee tiene que saber quién lo hizo y con qué criterio.

CSF mismo se concibe así: no prescribe cómo lograr los resultados, sino que remite a referencias informativas (estándares, guías y prácticas) que sirven para lograrlos. CIS publica sus controles con una correspondencia a las funciones de CSF 2.0 a partir de su versión 8.1. Pero lo que un mapeo nunca da es cumplimiento: dice qué marco cubre qué, no que el control funcione.

El mapeo que ves en la consola lo hizo el analista de Montelar comparando, uno por uno, el texto de cada resultado con lo que hace el control propio y con el nombre del control de CIS. Es un mapeo de trabajo: útil para organizar, pero no es el que publica CIS ni uno que Montelar pueda presentar como oficial. La correspondencia oficial entre CIS Controls v8.1 y las funciones de CSF 2.0 la publica el propio CIS, y es lo que se cita cuando alguien externo pide un mapeo.

En un informe, esa diferencia se escribe: «mapeo elaborado por Montelar, a partir del texto de los marcos» frente a «mapeo publicado por el titular del marco, versión tal».

Un mapeo se lee en las dos direcciones. Primero: ¿lo que hace el control propio cabe en la subcategoría que se le asignó? Después: ¿cabe en el nombre del control CIS que se le asignó? La consola te da cada control propio junto al nombre del control CIS. En Montelar hay una fila donde el control no tiene nada que ver con el control CIS al que se mapeó: se coló al copiar la tabla y nadie lo revisó.

Un error así parece menor, pero un informe al cliente que dice «gestión de proveedores cubierta por el control de infraestructura de red» pierde credibilidad en todo lo demás.

El mapeo también sirve al revés: partiendo del perfil objetivo, ¿qué resultados no tienen ningún control propio detrás? Esos son huecos de cobertura. A diferencia de una brecha de nivel, aquí no se trata de hacer mejor algo que existe: no hay nada que lo sostenga. Lo normal es que sean varios, repartidos entre funciones.

Pide a la consola las subcategorías del perfil objetivo que no aparecen en ninguna fila del mapeo. De esas, hay una sola que pertenece a la función Recover.