Del requisito del marco a la decisión de diseño

Una subcategoría de NIST CSF 2.0 es un resultado: «los datos en tránsito están protegidos». No nombra un protocolo, una herramienta ni un presupuesto, y el marco lo dice de sí mismo: no prescribe cómo lograr cada resultado. Una decisión de diseño es lo que se hace para que el resultado sea cierto en un sistema concreto: qué tramo se cifra, con qué mecanismo y quién guarda las claves.

El paso de uno a otra tiene cuatro piezas que conviene escribir siempre: el resultado esperado, el sistema y el tramo donde hoy no se cumple, la opción de diseño elegida con su costo, y la evidencia que dejará para comprobarlo. Si falta la segunda, el requisito se «cumple» sobre papel; si falta la cuarta, nadie podrá decir después que se cumplió.

El requisito R-1 pide proteger los datos en tránsito. Abre tramos: de los cuatro por los que viajan datos de Aguamarca, hay dos sin cifrar. Después abre opciones: cada una trata un tramo y tiene un costo único en millones de pesos. Cuidado con dos trampas. La opción gratis puede tratar un tramo que ya está cifrado, y entonces no cierra nada. La opción más cara no es necesariamente la más segura: si dos opciones cierran el mismo tramo, el arquitecto propone la más barata y deja escrito por qué descartó la otra.

El tramo del concentrador del acueducto hacia la plataforma es el T-2. Busca, entre las opciones que lo tratan y lo cierran, la de menor costo.

El resultado del marco no se cumple mientras quede un tramo abierto. Aguamarca tiene dos, y cada uno tiene sus propias opciones. El costo mínimo de cumplir R-1 es la suma de la opción más barata de cada tramo abierto, no la del total más barato de cualquier lista. Es el número que el arquitecto lleva a quien aprueba el gasto, en millones de pesos.

El requisito R-2 pide copias de los datos que se creen, se protejan, se mantengan y se prueben. El R-3 es el control de respaldo de la guía ISO/IEC 27002, que va en la misma dirección. «Protegida» tiene un sentido de diseño muy concreto: si quien administra la producción administra también la copia, quien comprometa esa cuenta pierde las dos a la vez, y el respaldo no protege de lo que más importa.

En la tabla respaldos hay una columna para la cuenta de administración de la copia y otra para la de producción. Compara las dos en cada sistema.

La opción elegida para cada requisito se registra con la evidencia que dejará, y esa evidencia tiene que poder volver a leerse en un año: una configuración exportada con fecha, un acta de la prueba de restauración o el resultado de una consulta guardada. Con eso, un auditor o un cliente puede comprobar el cumplimiento sin preguntar a nadie, y el arquitecto puede detectar el día en que dejó de ser cierto.