Lunes · marcos, requisitos y madurez

El SSDF reúne sus prácticas en cuatro familias, cada una identificada por una sigla de dos letras. Una atestación afirma que se hacen las cuatro, pero una familia solo está cubierta si alguna de sus actividades tiene una evidencia que un auditor pueda abrir. Una actividad declarada sin evidencia, o apenas planificada, no cubre nada: para saber qué sostiene la empresa se cuentan por familia las actividades con evidencia, no las declaradas.

Un cliente que pide una atestación suele fijar cuán vieja puede ser la evidencia. La antigüedad se mide desde la fecha de la evidencia hasta la fecha de la firma, y un control cuya evidencia supera el límite no resiste la revisión aunque el control exista. La frontera importa: un día por encima del límite ya cuenta como vencida; exactamente el límite, no.

En una matriz de responsabilidades, quien responde rinde cuentas del resultado y quien ejecuta hace el trabajo. Una actividad sana tiene una sola cuenta que responde y al menos una que ejecuta. Dos cuentas que responden diluyen la rendición de cuentas, y ninguna que ejecute deja el trabajo sin hacer aunque todos figuren en la matriz.

ASVS define tres niveles de verificación y cada organización decide cuál toca a cada aplicación con un criterio escrito. Un nivel asignado por debajo del que el criterio exige deja la aplicación con menos controles de los que su riesgo pide; uno por encima solo cuesta más. El criterio se aplica de arriba abajo: la condición más exigente que se cumpla es la que decide.

En una evaluación de madurez, el nivel declarado es lo que el equipo cree tener y el verificado es lo que alguien confirmó con evidencia. La diferencia entre ambos es la brecha de confianza: sumar prácticas declaradas sin verificar infla la cifra de madurez y la vuelve inútil para decidir qué mejorar primero.