Capacidades frente a productos: qué hace falta y no con qué

Una capacidad de seguridad es algo que la organización tiene que poder hacer para protegerse, dicho sin nombrar con qué: «controlar y registrar el uso de cuentas privilegiadas», «hacer copias aisladas y probar que restauran». Se escribe como verbo, objeto y resultado, y tiene un dueño que responde de que funcione.

Un producto es una de las formas de realizar esa capacidad. La misma capacidad puede necesitar una herramienta, un proceso y personas que lo ejecuten; y una herramienta puede apoyar varias capacidades a la vez. Por eso el mapa se dibuja por capacidades y las herramientas van en otra columna: si mañana cambia el proveedor, el mapa sigue igual y solo cambia esa columna.

La razón de fondo es que la pregunta de la dirección casi nunca es «¿tenemos el producto X?», sino «¿somos capaces de detectar esto?» o «¿podemos volver a operar en un día?». Un inventario de licencias no responde eso; un mapa de capacidades sí.

El error más común al empezar un mapa es copiar la lista de licencias y llamarla capacidades. Se nota porque la entrada lleva marca o versión y no dice qué resultado se busca. Una entrada así no se puede medir ni comparar con alternativas: solo se puede renovar.

Abre el laboratorio. Lee criterio-de-capacidad.txt y después recorre borrador-mapa-v0.3.txt entrada por entrada.

Un mapa dice qué hace falta; el inventario dice qué hay. Al cruzarlos aparecen las capacidades que están en el papel pero que ninguna herramienta ni ningún proceso documentado realiza. Esas son las más peligrosas, porque el mapa da la impresión de que existen.

Cruza cada capacidad del borrador con la columna «apoya a» de herramientas-y-procesos.txt, incluida la sección de procesos.

Como una herramienta puede apoyar varias capacidades, cancelar un contrato puede dejar varios huecos a la vez, o ninguno si otra herramienta o un proceso cubre lo mismo. Mirar la lista de herramientas no basta: hay que preguntar, capacidad por capacidad, qué queda después de quitar la herramienta.

Lee la nota de compras al final de herramientas-y-procesos.txt. Para cada capacidad que apoya HER-03, busca si queda otra herramienta o un proceso que la realice.

El gerente de compras de Zapallal pregunta por qué el mapa no puede ser la lista de licencias con una columna de precios, que es lo que él ya tiene. La respuesta se apoya en lo que acabas de hacer en las tareas 3 y 4.