Puntuar los huecos

El riesgo inherente es el que hay antes de cualquier control de Altamira; el residual es el que queda cuando las medidas de Altamira operan. Una medida compensatoria es un control del lado de Altamira que baja la probabilidad o el impacto de un riesgo que está en el proveedor. Funciona si Altamira la controla y se puede comprobar que opera. Si el riesgo vive dentro del proveedor y nada de lo que Altamira haga lo toca, no hay compensación: hay una condición que el proveedor debe cumplir. Y una medida compensatoria no borra el hallazgo: lo deja registrado con su residual.

El registro trae probabilidad e impacto de cada hallazgo, no su nivel. Con la matriz de Altamira (nivel igual a probabilidad por impacto) se calcula. Hazlo con el hallazgo de las cuentas administrativas sin segundo factor, el que el equipo registró como H-02, y fíjate en qué rango de la matriz cae: ese rango dice cuánto pesa antes de cualquier medida de Altamira.

Para el mismo hallazgo, Altamira puede exigir que todo acceso a los datos entre solo por una VPN con dirección fija y con cuentas de servicio que emite la propia Altamira. Con eso, un administrador de Tesela sin segundo factor ya no puede llegar a los datos de Altamira por sí solo. La tabla de compensatorios trae los valores de probabilidad e impacto a los que lleva cada medida si opera. El residual se calcula igual que el inherente, con los valores nuevos.

El comité no quiere seis filas: quiere saber cuántos hallazgos siguen en nivel alto o crítico cuando las medidas de Altamira ya operan. Calcula el residual de los seis, uno a uno, con los valores de la tabla de compensatorios, y ubícalos en la matriz. Cuenta los que quedan en el rango alto o en el crítico. Un número que no se puede reconstruir desde los datos no sirve en un dictamen.