Escenario — el control que ya existía y nadie contó

El informe del año pasado contó la alerta de fallos de inicio de sesión del correo como control detectivo vigente. Antes de que el comité la tome por buena conviene comprobar si hoy recibe algo.

Al inventariar, las áreas declararon controles que el informe anterior nunca mencionó: los tenían sus equipos y no estaban en la lista del comité. Es el primer dato que el comité necesita para dejar de creer que parte de cero.

Cada renglón de la propuesta de compra promete una técnica de D3FEND. Un renglón es redundante si la cooperativa ya tiene un control con esa misma técnica cuya fuente llega al SIEM. Si el control existe pero su fuente no llega, lo que falta no es comprar sino restablecer la fuente.

De las cinco técnicas de ATT&CK que el comité quiere vigilar, algunas ya tienen su técnica de D3FEND cubierta por un control existente, otras la tienen con la fuente caída, y una no tiene nada.

Con las cuatro cifras en la mano, queda la decisión. De los cuatro renglones de la propuesta, dos duplican un control vigente, uno duplica un control cuya fuente está caída y uno cubre algo que la cooperativa no tiene. El comité no es técnico y quiere una frase que pueda votar.