Plan de seguridad en lectura estructurada

El perfil dice qué controles aplican. El plan de seguridad (system-security-plan) dice cómo los cumple este sistema: importa el perfil (import-profile), describe el sistema (system-characteristics), lista sus componentes (system-implementation) y, para cada control, anota su implementación (control-implementation): qué componente lo cumple, con qué descripción y en qué estado.

El plan es una declaración de la organización sobre sí misma. Es el punto de partida de la evaluación, no su conclusión.

Cada implementación lleva un estado. Los valores habituales son implemented (implementado), partial (parcial), planned (planeado), alternative (cumplido por un medio alternativo) y not-applicable (no aplica). Un estado planned significa que el control todavía no existe, aunque ya esté descrito.

Consulta SELECT * FROM implementacion_ssp.

Un plan que dice «todo implementado» rara vez es el real. Contar los estados es la lectura más rápida de un plan: cuántos controles están completos y cuántos no. Aquí interesa lo que no está en implemented, porque eso es lo que habrá que cerrar.

El plan asigna cada control a un componente, y el componente tiene una persona o un proveedor que responde por él. Eso permite, ante un fallo, saber a quién preguntar. Un control sin componente asignado es una señal: o nadie lo cumple todavía o nadie sabe quién debe hacerlo.

Cruza implementacion_ssp con inventario_de_componentes.

Que el plan diga implemented es lo que la organización afirma. Para saber si es verdad hay que contrastar la afirmación con evidencia y con una evaluación independiente. Un archivo bien formado, con todos sus campos, puede describir un control que no funciona.