Comparar tres marcos sobre el mismo control

Cuando un analista construye una tabla que relaciona controles de varios marcos, está haciendo una correspondencia (en inglés, mapping), no una equivalencia. Dos controles pueden tratar del mismo tema y diferir en alcance, en rigor o en lo que exigen medir.

Por eso la tabla de correspondencia no sustituye a la lectura: se prueba contra el texto de cada marco que se quiera afirmar. Las tablas oficiales de relación entre marcos, cuando existen, se citan con su fuente.

Lee la matriz que armó el analista de Cotopaxi. Varias filas dejan el plazo a lo que decida la organización. Entre ellas, una trata de desactivar las cuentas que cumplen condiciones como estar inactivas.

Entre las seis filas, una exige una cifra concreta. Se trata de una salvaguarda de CIS sobre cuentas que llevan tiempo sin usarse. No es lo mismo fijar la cifra que dejarla a la empresa, porque quien lo fija puede probarse con un cálculo y quien no, con el criterio de la propia empresa.

Tras revisar evidencia, el equipo clasificó cada fila como cubierta, parcial o con brecha. Para el informe a la gerencia, lo que importa es cuántas filas no están cubiertas del todo, sumando las parciales y las brechas.

Reunir evidencia es caro. Una buena práctica es reutilizar: una misma exportación puede servir a controles de varios marcos si cubre lo que cada uno pide. Cotopaxi tiene tres evidencias y debe elegir la que sirve a la vez para la 5.18 de ISO, el AC-2(3) de NIST y la 5.3 de CIS.