Entrevistar al dueño del proceso y anotar lo que de verdad importa

El dueño del proceso no habla de cifrado ni de cortafuegos: habla de lo que le quita el sueño. La entrevista sirve para sacar tres cosas. Lo que no puede pasar (el desembolso a una cuenta ajena, la caída el día de más solicitudes). Cuánto duele si pasa (dinero que no se recupera, filas en las oficinas a las tres horas, una sanción). Lo que le exigen desde fuera (la ley, el ente de supervisión, la asamblea). Con eso el arquitecto escribe después los requisitos; la tecnología viene más tarde.

La guía de ingeniería de sistemas seguros del NIST (SP 800-160, volumen 1, revisión 1 de noviembre de 2022) trata este paso como la definición de las necesidades de protección de los interesados, antes de convertirlas en requisitos del sistema. Dicho con palabras de oficio: primero se entiende el negocio y después se diseña.

Un resumen de entrevista se escribe con prisa, y el analista filtra: deja fuera lo que no le parece de seguridad. A veces acierta (los colores de la marca no son un requisito de seguridad) y a veces tira lo más valioso, porque la dueña del proceso lo dijo con palabras de operación y no con palabras técnicas.

En entrevista/acta-entrevista.txt están las doce intervenciones y en entrevista/resumen-del-analista.txt la columna «sale de» dice de qué intervención nace cada necesidad. Cruza las dos y piensa en cada intervención que no llegó al resumen: ¿es solo estética o describe un control que se rompe?

Los dueños de proceso piden soluciones porque las han visto en otra parte: «lo quiero como en los bancos», «pongan un captcha», «con huella». Detrás de cada una hay una necesidad, y la necesidad es lo que se anota, porque la solución pedida puede no ser la mejor, no estar disponible en todos los teléfonos o traer obligaciones nuevas. Si la cooperativa llegara a guardar huellas, por ejemplo, estaría tratando datos biométricos, que la Ley 1581 de 2012 de Colombia cuenta entre los datos sensibles.

Vuelve al acta y busca la intervención que nombra una tecnología en vez de describir lo que necesita el negocio.

La necesidad que copió el analista en el resumen repite la tecnología tal cual. Hay que reescribirla: qué se quiere asegurar y en qué momento, sin atarse a un mecanismo. Así el diseño puede elegir el factor que mejor sirva y el auditor puede comprobar el resultado.

Una sola entrevista nunca basta. Cada conjunto de datos del proceso tiene un dueño, y cada dueño sabe cosas que los demás no: cuánto se guarda, quién lo puede ver, qué pide la norma que lo gobierna. La propia gerente lo dijo en una de sus respuestas: hay una pregunta que ella no puede contestar.

Cruza entrevista/inventario-de-datos.txt con entrevista/agenda-de-entrevistas.txt.