Preparar, roles, frontera y registro

Los siete pasos son Preparar, Categorizar, Seleccionar, Implementar, Evaluar, Autorizar y Monitorear, y no son una línea que se recorre una vez: el último paso alimenta otra vez a los demás cuando el sistema cambia. Preparar va primero porque fija lo que los demás necesitan: los roles con nombre y apellido (quien decide el riesgo, quien responde por el sistema, quien lo evalúa), la misión que el sistema apoya, qué componentes forman el sistema y cuáles tocan sus datos, y el registro que lo hace visible para la organización.

La evidencia de este paso son documentos modestos pero decisivos: oficios de designación, un inventario, una descripción de la frontera y la ficha de registro. Si faltan, cada paso posterior se apoya en suposiciones.

El RMF distingue roles porque una decisión de riesgo vale lo que valga la independencia de quien la sostiene: el funcionario autorizador acepta el riesgo, el responsable del sistema lo opera y lo documenta, el evaluador comprueba si los controles funcionan y el proveedor de controles comunes opera lo que varios sistemas heredan. Cuando dos de esos roles caen en la misma persona, el evaluador estaría juzgando su propio trabajo.

Revisa las designaciones del Visor Predial contra las reglas de la casa. Ejecuta SELECT * FROM designaciones y SELECT * FROM reglas_de_la_casa.

La regla R-1 del Instituto pide que cada rol tenga una persona designada por escrito antes de categorizar. Un rol vacante no es un detalle administrativo: sin su titular, el plan de seguridad no tiene quien lo mantenga y los hallazgos no tienen a quién llegar.

Cruza la lista de roles con las designaciones. Ejecuta SELECT * FROM designaciones.

La frontera de autorización es el límite de lo que se evalúa y se autoriza como un solo sistema. Los componentes que la organización no opera pero de los que depende (el centro de datos, el servicio de identidad) se heredan de su proveedor y se declaran. Lo peligroso es el componente que guarda o procesa datos del sistema y no está en ninguna de las dos listas: nadie lo evalúa, nadie lo cuida y nadie responde por él.

Revisa el inventario. Ejecuta SELECT * FROM componentes.

Registrar el sistema es darle un identificador en el inventario de la organización, vincularlo con su responsable y su misión y abrir su expediente de riesgo. El Visor Predial lleva meses funcionando con el registro en borrador y sin identificador. Mira la ficha con SELECT * FROM registro_del_sistema.