Madurez del SOC con un modelo público

El SOC-CMM es un modelo de madurez para centros de operaciones de seguridad, de uso gratuito, que organiza la evaluación en cinco dominios: negocio, personas, procesos, tecnología y servicios. Cada dominio tiene aspectos que se puntúan por niveles (en el modelo, de 0 a 5 para la madurez). La hoja de esta sala es una versión simplificada con dos aspectos por dominio.

Un modelo de madurez no es una meta en sí misma ni un concurso: un SOC pequeño con nivel 3 bien respaldado y un objetivo realista está mejor que uno que declara nivel 4 en todo. El valor está en la comparación: contra el objetivo propio, contra la evaluación del año anterior y, cuando se quiere, contra otros SOC. Y un nivel solo tiene valor si se puede demostrar: la regla de oficio es que cada nivel declarado lleve su evidencia.

Abre la autoevaluación. Cada aspecto trae el nivel que el equipo se puso y la evidencia que lo respalda; un aspecto con la evidencia «sin evidencia» tiene un nivel que nadie podría demostrar ante un evaluador externo. Contarlos dice cuánto de la hoja es opinión.

La brecha de un aspecto es la diferencia entre el objetivo que aprobó la gerencia y el nivel declarado. Priorizar por brecha es el primer paso hacia un plan de mejora: dónde está el mayor trecho entre lo que se tiene y lo que se quiere.

Para esta sala se usa una regla de trabajo, que es de la sala y no del modelo: mientras un aspecto no tenga evidencia, su nivel se baja un punto. Aplícala al dominio de procesos y calcula su promedio, que es la media aritmética de los niveles de sus dos aspectos después de la corrección.

Con la hoja revisada hay tres formas de presentarla. La que sirve es la que la gerencia puede comprobar y la que sirve para decidir dónde poner dinero. Una hoja que mezcla lo demostrado con lo supuesto se cae con la primera pregunta de un auditor, y arrastra la credibilidad de todo el SOC.