Seleccionar y adaptar controles

Una línea base es un conjunto de controles de partida para un nivel de impacto. Adaptar (tailoring) es ajustarla al sistema real con operaciones reconocidas: acotar (quitar un control que no aplica, con razón), fijar los parámetros que el control deja abiertos, sustituir por controles compensatorios cuando el original no es posible y añadir controles que el riesgo o la ley piden. Lo importante es que cada ajuste quede justificado por escrito: es lo que el evaluador y el autorizador revisarán después.

Quitar un control es una decisión de riesgo y exige razón: por qué no aplica o qué lo sustituye. Una celda de justificación vacía junto a un «Se quita» es una decisión que nadie podrá defender.

Revisa las decisiones del equipo con SELECT * FROM seleccion_de_controles.

Un control común lo opera un proveedor dentro de la organización y varios sistemas lo heredan. Heredar no es olvidarse: el plan del sistema nombra el proveedor, y la evidencia de que el control funciona viene del proveedor, no del sistema.

Cruza SELECT * FROM seleccion_de_controles con SELECT * FROM proveedores_de_controles_comunes.

Muchos controles dejan al criterio de la organización un valor (cada cuántos días, con qué frecuencia, qué plazo). El plan de seguridad debe repetir el valor de la política: si el plan promete algo más laxo, el control se evaluará contra una cifra que la política desmiente.

Compara la política con el plan en SELECT * FROM parametros.

El equipo propone marcar como no aplicable la protección de la frontera porque el proveedor no puede aislar el servidor de reportes hasta el próximo ejercicio. Lee SELECT * FROM control_sin_solucion. Que el control no sea posible hoy no lo hace innecesario: el riesgo sigue allí y alguien debe decidir cómo vivir con él mientras tanto.