Metas y objetivos de resiliencia: anticipar, resistir, recuperar y adaptar

La publicación separa dos niveles. Las metas son cuatro y sirven para hablar con la dirección y alinear la resiliencia cibernética con otras disciplinas de resiliencia: anticipar (estar preparados con información antes de la adversidad), resistir (seguir cumpliendo las funciones esenciales mientras dura), recuperar (devolver las funciones durante y después) y adaptar (cambiar funciones y capacidades ante cambios previstos del entorno técnico, operativo o de amenazas).

La adversidad incluye fallas y sobrecargas, pero también al adversario persistente que ya tiene un pie dentro. Por eso la meta de resistir no exige haber detectado nada: se cumple si la función sigue, se haya visto o no al intruso.

Para el análisis de ingeniería, la publicación no parte de las metas sino de los objetivos, que son más concretos y se relacionan mejor con las amenazas: prevenir o evitar, prepararse, continuar, contener, reconstituir, comprender, transformar y rearquitecturar. Cada objetivo se reescribe en los términos de la misión y del interesado, y de ahí sale el requisito con su medida.

Un error frecuente es confundir continuar (que la función siga mientras hay adversidad) con reconstituir (devolverla después, con recursos en los que se pueda volver a confiar), o etiquetar como comprender cualquier cosa que tenga un inventario cerca. La etiqueta importa: es la que dice qué objetivo queda cubierto y cuál no.

Abre el laboratorio, lee marco-de-trabajo.txt y después borrador-de-requisitos.txt.

Con las etiquetas corregidas, la siguiente pregunta es qué objetivos del marco no tienen ningún requisito. Un objetivo sin requisito no es una decisión de no cubrirlo: suele ser un olvido, y el olvido aparece el día del incidente. La publicación pide que cada interesado pueda decir qué objetivos le importan más; el arquitecto comprueba que lo que importa esté escrito.

Recorre los ocho objetivos de marco-de-trabajo.txt contra el borrador ya corregido.

Los objetivos se priorizan con quienes dependen del sistema. Quiralba hizo un taller con Operaciones, Riesgo y las cooperativas y dejó la prioridad de cada objetivo en una escala de 1 a 3. Sumar las tres columnas no es un método sofisticado, pero basta para ver si el borrador dejó fuera algo que los interesados consideran importante.

Lee matriz-de-prioridades.txt y su nota al pie.

Un objetivo se vuelve útil cuando se reescribe con la función de la misión, la condición adversa y una medida. «Continuar» no dice nada a quien diseña el autorizador; «seguir autorizando tal porcentaje de débitos con el centro principal perdido o comprometido» sí, porque se puede diseñar, probar y medir.