Informar al comité con un mapa defensivo

El formato más útil para el comité es una tabla con una fila por técnica de ATT&CK y una columna por táctica de D3FEND. En cada celda va el control que la atiende o un guion. Se lee de un vistazo: una fila con una sola celda llena depende de un único tipo de defensa; una con celdas en varias columnas tiene defensa en capas; una vacía no tiene nada.

Cada celda es una afirmación y debe poder comprobarse: el control existe y, si es detectivo, tiene su revisión. Si el mapa muestra un control que está instalado pero no se lee, el comité recibe una seguridad que no existe.

La tabla mapa_defensivo trae ocho técnicas de ATT&CK de la planta y, para cada táctica de D3FEND, el control que la atiende. Algunas técnicas tienen controles de endurecer, aislar, sacar al intruso o restaurar, pero ninguno detectivo: están atendidas y no se enterarán de que algo ocurrió.

Una técnica atendida por varias tácticas distintas tiene defensa en capas: si una falla, otra puede responder. Es el patrón que el comité busca cuando pregunta qué tan expuesta está la planta.

Hay una técnica sin ningún control. Presentar ese hueco es incómodo, pero el comité lo necesita para decidir el presupuesto. Se muestra tal cual, con su nombre y con la causa conocida; esconderla o pintarla de «en análisis» sin fecha le quita la decisión a quien debe tomarla.

La tabla revision_de_controles dice cuáles de los controles que aparecen en el mapa tuvieron revisión en los últimos 90 días. Cruzarla con el mapa separa la detección que vive de la que solo está escrita. Una técnica cuyo único control detectivo no se lee está, en la práctica, sin detección.