Madurez, qué mirar en cada pilar

El modelo de madurez de confianza cero de CISA organiza el trabajo en cinco pilares: identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos. Atraviesan los pilares tres capacidades transversales: visibilidad y análisis, automatización y orquestación, y gobernanza. En cada pilar describe cuatro etapas, desde la de partida hasta la más avanzada, y una organización puede estar en una etapa distinta en cada pilar.

Para este laboratorio los nombres de las etapas y sus umbrales están en criterios.txt; son una simplificación de Cobaltia.

Una etapa se asigna con evidencia, no con una impresión. En Cobaltia cada capacidad tiene una medida en porcentaje y la regla de criterios.txt la traduce a una etapa. Aplícala a la capacidad que mide cuántas cuentas tienen segundo factor activo, en evaluacion_identidad.txt.

Una cifra global esconde dónde están los huecos. Traduce cada una de las seis medidas a su etapa y cuenta cuántas capacidades siguen en la etapa de partida, la de menos madurez.

Cobaltia usa una regla prudente: el pilar queda en la etapa de su capacidad más baja. Un pilar con un directorio impecable y sin evaluación de señales no es de confianza cero, es un directorio impecable. Busca la capacidad con la medida menor.

Un modelo de madurez no pide mejorar todo a la vez. Pide mover lo que más retiene al conjunto y lo que más reduce el riesgo, con evidencia de que se movió: el siguiente corte debe medir otra vez la misma capacidad.