Regla de Seguridad: salvaguardas administrativas, físicas y técnicas

La Regla de Seguridad (45 CFR 164.308, 164.310 y 164.312) agrupa los controles en tres familias. Las administrativas son políticas, personas y procesos (análisis de riesgo, sanciones, formación, plan de contingencia). Las físicas protegen instalaciones y equipos (acceso a los locales, estaciones de trabajo, disposición de discos). Las técnicas son mecanismos en los sistemas (identificación de usuarios, cierre de sesión, cifrado, registros de auditoría).

Cada estándar tiene especificaciones requeridas, que se cumplen tal cual, y direccionables. «Direccionable» no significa opcional: la entidad evalúa si la medida es razonable y apropiada para su entorno; si lo es, la implementa; si no lo es, documenta por qué y aplica una alternativa equivalente cuando sea razonable. Dejarla sin hacer y sin explicación es un incumplimiento.

Clasificar bien un control importa porque la familia dice quién lo diseña, quién lo evidencia y quién lo audita. Una cerradura con tarjeta y unas cámaras controlan quién entra al local; eso es acceso a instalaciones, no un mecanismo dentro de un sistema. La tabla controles_de_la_red trae la familia que la red declaró para cada uno.

Entre los controles requeridos de la lista están algunos de los más citados en las sanciones: el análisis de riesgo, la gestión de riesgo, las sanciones al personal y la revisión periódica de la actividad del sistema. Un control requerido sin implementar no admite justificación: es una brecha de cumplimiento a corregir. La columna especificacion dice si es requerida o direccionable y estado dice si está hecho.

Entre los direccionables sin implementar, algunos tienen una decisión documentada: un acta que dice por qué la medida no es razonable y qué se hace en su lugar. Otros no tienen nada. Esos últimos son los que un auditor marca, porque no se distingue una decisión tomada de un olvido. En controles_de_la_red, la columna justificacion_documentada trae «—» cuando no hay documento.