Evaluación de riesgo para escoger el nivel de un trámite

La gestión del riesgo de identidad digital de NIST SP 800-63-4 tiene cinco pasos: definir el servicio, hacer la evaluación inicial de impacto, elegir los niveles iniciales, ajustarlos y documentarlos, y evaluarlos de forma continua. El orden importa. Sin saber quién usa el servicio, qué hace en él y a quién afecta un error, no se puede decir cuánto duele.

Abre el escritorio, entra en la carpeta riesgo y lee proceso.txt. Fíjate en que el primer paso es entender el servicio, no mirar controles.

La evaluación mira cinco categorías de daño, que la norma exige como mínimo: misión, reputación, información, financiero y seguridad física. Cada categoría recibe un impacto bajo, moderado o alto. Para convertirlo en un solo impacto por trámite, la cooperativa aplica una regla interna: gana el más alto de los cinco.

Abre evaluacion-tramites.txt. Aplica esa regla a los siete trámites y cuenta cuántos terminan con impacto alto.

Las categorías no pesan igual en todos los trámites: unos duelen sobre todo en lo financiero y otros porque exponen o alteran información sensible. Identificar qué categoría sube el impacto sirve para decidir qué control compensa. Lee la columna de información de la tabla con ojo de auditor.

Con el impacto elegido se aplica la correspondencia inicial que está al final de proceso.txt. Para impacto alto la correspondencia da el nivel más exigente de las escalas de identidad y de autenticación, y deja abierta la federación entre dos niveles, según cuánto riesgo tenga el aviso entre sistemas.

Toma el trámite que la tabla marca con impacto alto en lo financiero y escribe el AAL inicial que le corresponde.

El tercer paso solo fija un punto de partida. El cuarto paso pide ajustarlo y dejar constancia: se revisa si el nivel inicial es viable para quienes usan el trámite, qué amenazas se conocen y si hay controles compensatorios que justifiquen subir o bajar algo. Sin ese ajuste, la tabla da un número que nadie ha comprobado contra la realidad.