Comparar madurez entre equipos

Un equipo que mantiene una intranet con datos poco sensibles puede tener un puntaje altísimo, porque tiene pocas cosas que proteger y poco que lo estorbe. Otro que cuida un sistema de cobros, con integraciones y datos de clientes, tiene un puntaje menor y mucho más en juego. Poner los promedios en una sola lista ordena la madurez, pero no ordena el riesgo.

Por eso las comparaciones entre equipos se hacen con tres datos, no con uno: el puntaje, la criticidad de lo que protege y el objetivo que el equipo se fijó. La pregunta útil nunca es quién va primero, sino quién está más lejos de lo que su riesgo exige.

Los datos de los cinco equipos están en equipos/comparacion.txt y las convenciones de lectura en equipos/convencion.txt.

Antes de interpretar, hay que calcular bien. El promedio de un equipo es el de sus cinco funciones, y los puntajes tienen decimales. Calcúlalo para los cinco y encuentra el mayor; es un dato que el resumen de dirección tiende a usar como titular.

Ahora la pregunta que sí sirve: entre los equipos que protegen lo más importante, ¿cuál tiene el menor puntaje? Se filtra primero por criticidad y después se compara. El resultado rara vez coincide con el titular de la tarea anterior, y esa discrepancia es la razón de este ejercicio.

El objetivo de cada equipo es el punto de comparación justo: un equipo de criticidad baja con objetivo 1.0 y promedio 1.2 cumple; uno de criticidad alta con objetivo 2.0 y promedio 1.4 no. Contar los equipos que están por debajo de su propio objetivo es la cifra que mejor resume cuánto trabajo pendiente hay, sin pedirle a nadie que se compare con otro.

Además de comparar equipos dentro de la empresa, a veces se quiere comparar la empresa con otras. Para eso existe BSIMM, un modelo de enfoque distinto: describe lo que hacen las organizaciones participantes de un estudio, en lugar de indicar qué se debería hacer. SAMM, en cambio, se presenta como un modelo prescriptivo, que guía lo que conviene implantar. Con BSIMM se pregunta qué hacen otros; con SAMM, qué hacer a continuación. Ninguno sustituye el criterio de riesgo propio, y los datos de BSIMM los publica su propietario, por lo que se verifica su licencia y su versión antes de citarlos.