NIST SSDF: prácticas y evidencia

El SSDF (Secure Software Development Framework, NIST SP 800-218, versión 1.1) agrupa sus prácticas en cuatro grupos: PO (Preparar la organización), PS (Proteger el software), PW (Producir software bien protegido) y RV (Responder a las vulnerabilidades). Cada práctica lleva el identificador de su grupo y un número, como PW.7.

Es un marco de prácticas, no una certificación: no lo «tiene» una empresa, lo sigue en mayor o menor medida y puede demostrarlo con artefactos. Eso lo hace útil para GRC: cada práctica pide algo que deja rastro.

Una evidencia solo respalda una práctica mientras sea reciente: un inventario de hace dos años describe una empresa que ya no existe. La regla de vigencia de Ceibalito es clara: la evidencia vale si su fecha cae dentro de los doce meses anteriores al corte.

Abre evidencia_entregada y compara cada fecha con el corte del 30 de septiembre de 2027.

La regla de vigencia pide también un responsable con nombre de cargo. Un documento sin responsable no tiene a quién preguntar cuando alguien lo cuestiona, y suele indicar que nadie lo mantiene.

Revisa la columna responsable y, con la columna id_practica, di a qué práctica respalda ese artefacto.

Para contestar el cuestionario hay que contar, y contar bien. Una práctica se puede sostener si cumple tres cosas a la vez: existe una evidencia para ella, esa evidencia está vigente y tiene responsable. Una práctica sin evidencia, o con evidencia vencida o sin responsable, no cuenta.

Cruza practicas_en_alcance con evidencia_entregada por el identificador de la práctica.

El cliente pide una declaración de conformidad. Declarar más de lo que se puede demostrar convierte un cuestionario en una promesa incumplida y, si el cliente audita, en un problema contractual. Declarar menos de lo que se hace pierde ventas sin motivo. La salida es contestar práctica por práctica, con lo que hay y con lo que falta.