Superposiciones y adaptaciones documentadas

Una superposición (overlay) es un conjunto ya preparado de ajustes a una línea base para una comunidad, una tecnología o un entorno: controles que se añaden, que se quitan, valores de parámetros ya fijados y guía de aplicación. SP 800-53B explica cómo crearlas. La ventaja es que cada organización de esa comunidad no parte de cero ni decide por su cuenta valores que deberían ser parecidos.

La adaptación local, en cambio, es lo que cada organización hace sobre su propio sistema, con o sin superposición. Quien adopta una superposición sigue pudiendo adaptar, pero debe justificar cualquier valor que se aparte de lo que la comunidad acordó.

Una superposición fija mínimos comunes. Un valor local más exigente la cumple de sobra; uno más flojo se aparta de lo acordado y necesita una excepción justificada. La tabla superposicion_de_datos_publicos compara lo que pide la superposición con el valor local del instituto, y hay que mirar el sentido de cada regla: algunas fijan un máximo y otras un mínimo.

Al cerrar el plan hay que saber de cuántos controles se responde. Se parte de la línea moderada del instituto, se suman los que añade la superposición y se restan los que salieron por una consideración de alcance. Cada control o mejora cuenta como uno.

El resultado es el tamaño del plan que se evaluará, y tiene que coincidir con el número de filas del plan de controles, no con el de la línea de partida.

Cada adaptación debe dejar escritas la acción, la justificación, quién la aprobó y cuándo. Lo que se quita de una línea base tiene que poder defenderse ante una auditoría: «porque no lo usamos» solo vale si hay una evidencia que lo muestre. Una fila sin justificación no se puede revisar, y eso la vuelve una deuda del plan aunque la haya aprobado el comité.

El responsable de seguridad pide a un analista nuevo que documente una adaptación en la que se aplica un valor de parámetro distinto del de la superposición. Hay tres formas de hacerlo.