Políticas que se cumplen

No son sinónimos. La política dice el qué y el porqué a alto nivel —«las cuentas privilegiadas se protegen con un segundo factor»— y la aprueba la dirección. El estándar concreta el cómo obligatorio —«el segundo factor es una app de códigos o una llave física, nunca SMS»—. El procedimiento son los pasos que sigue quien lo ejecuta. Auditar necesita las tres: una política sin estándar ni procedimiento es una intención, y una intención no se puede comprobar ni operar.

Cuando alguien enseña «la política» como prueba de un control, la pregunta siguiente es siempre: ¿y el estándar y el procedimiento que la bajan a la práctica?

La política de uso aceptable de Cumbre está firmada por la dirección hace dos años. Pero al buscar la evidencia de que el personal la conoce —acuse de lectura, registro de la charla de inducción, cualquier constancia— no hay ninguna. La política existe y está aprobada, pero nunca bajó a la gente que tiene que cumplirla. Una política que no se difunde no dirige la conducta de nadie: es un documento en una carpeta. El hallazgo no es que falte la firma, es que falta la difusión y su evidencia.

Firmar es el principio del camino, no el final. Lo que hace que una política se cumpla es que quien debe cumplirla sepa que existe y la haya acusado.

Toda política seria admite excepciones, pero con reglas: la aprueba alguien con autoridad, se registra el motivo, y lleva una fecha de caducidad para que se revise. En Cumbre encuentras una excepción a la política de MFA para la cuenta opsadmin, aprobada «temporalmente» hace 18 meses, sin fecha de caducidad y sin que nadie la haya revisado desde entonces. Una excepción sin caducidad es una política paralela: convierte lo que era un permiso puntual en la regla real del sistema, por debajo del radar.

Auditar excepciones es auditar dónde la organización decidió, en silencio, no cumplir su propia política — y comprobar que esa decisión sigue teniendo dueño y fecha.