Mapear un control existente

Clasificar un control en D3FEND es sencillo: se mira qué hace, sobre qué objeto, y se busca la técnica cuyo nombre lo describe. Lo difícil es decidir si merece contarse. Un control detectivo es un proceso, no un producto: una fuente que registra, una regla o una revisión que lo interpreta y una persona que actúa. Si alguien instaló el agente pero nadie mira lo que registra, existe en el inventario y no existe en la defensa.

Por eso el mapa de la planta lleva una columna de revisión: la fecha o el sí de que en los últimos 90 días alguien miró lo que ese control registra. Es una evidencia barata de que el control está vivo.

La tabla controles_clasificados trae los quince controles con la táctica y la técnica de D3FEND con la que la planta los clasificó. Para ubicar un control se hace el camino inverso al de la clasificación: se parte del nombre de la técnica y se busca qué control la implementa.

De los quince controles, siete son detectivos (táctica Detect). La revisión de 90 días solo se mide en ellos, y es la que separa los que están vivos de los que están en el inventario. La cifra honesta para un informe es la de los vivos.

Un control detectivo tiene dueño, y el dueño determina quién lo revisa y quién pone la fuente. Si casi todos están en una sola área, esa área es el punto único de falla de la detección y la que más carga lleva cuando se pide cubrir más.

A veces un control no calza limpio con una técnica: hace dos cosas, o la que más se le parece lo describe a medias. Forzar el encaje infla el mapa y esconde lo que el control no hace. Lo correcto es clasificarlo en la técnica más cercana y escribir al lado qué parte no cubre.