CIS Controls y el cumplimiento de papel

CIS Controls, del Center for Internet Security, es un conjunto de 18 controles priorizados, en la versión 8.1 que usa Aguamarca. No es un sistema de gestión ni un método de diseño: no dice cómo llegar a una arquitectura, dice qué controles dan más protección por esfuerzo. Para que una empresa pequeña no tenga que empezar por todos, los agrupa en tres grupos de implementación, del IG1 al IG3, y son acumulativos: cada grupo contiene al anterior y le añade lo que exige más recursos o más riesgo.

Para el arquitecto, esa acumulación es una herramienta de conversación: cuando una aseguradora o un cliente pide «el grupo 2», pide también todo el grupo 1.

Hay dos clases de evidencia. Un registro de operación muestra que algo funciona: un acta fechada, un informe de una herramienta, una exportación de configuración, la lectura de una consola. Un documento muestra que alguien escribió cómo debería funcionar: una política, un procedimiento, un plan aprobado. Los dos valen, pero no valen lo mismo. Un «sí» que cita solo un documento es una intención firmada, y hasta que alguien lo contraste con el sistema no se puede afirmar que opera.

En la tabla declaracion, la columna tipo_de_evidencia distingue las dos. Cuenta los controles que Aguamarca declara con estado «si» y cuya única evidencia es un documento.

El segundo paso del arquitecto es contrastar el documento con el sistema. Se toma lo que el documento promete, se lee el ajuste real y se compara. Cuando coinciden, el «sí» queda respaldado y conviene guardar la lectura como evidencia. Cuando no, el documento describe una empresa que no existe, y el estado declarado cae.

Aguamarca tiene los dos controles de la tarea anterior. La tabla politicas dice lo que prometen los documentos y la tabla configuracion trae la lectura de los sistemas hecha el 2 de octubre de 2026. Cruza las dos para uno de ellos.

Con el hallazgo hay dos caminos y los dos son legítimos, pero no son intercambiables en el tiempo. Subir la conservación de los registros de 30 a 365 días es un cambio de diseño: tiene un costo de almacenamiento y un plazo, y no está hecho. Mientras no lo esté, la declaración debe decir lo que hay. Una declaración corregida por quien la firma es una nota en una reunión; descubierta por la aseguradora, es una pérdida de confianza en las otras 17 filas.