La matriz de DSOMM por dimensión

DSOMM organiza su contenido en dimensiones, que son áreas de trabajo de la cadena de entrega: construcción y despliegue, cultura y organización, implementación, recopilación de información, y pruebas y verificación. Dentro de cada dimensión hay actividades: cosas concretas que se hacen o no se hacen. Cada actividad lleva un nivel, que indica cuánta madurez presupone, y puede declarar de qué otra actividad depende.

La diferencia con SAMM es de grano. SAMM pregunta por prácticas amplias y puntúa niveles; DSOMM enumera actividades específicas y se marca cada una como implantada o no. Los datos del modelo se publican en un repositorio abierto, con una licencia de atribución y compartir igual para el contenido, y cada actividad referencia su equivalente en otros marcos, SAMM entre ellos, lo que permite usar los dos juntos.

El extracto de Níspero está en dsomm/matriz.txt; la leyenda en dsomm/leyenda.txt aclara qué es oficial y qué es inventado.

Una matriz se lee por columnas antes que por casillas. Para cada dimensión conviene preguntar hasta dónde llega: si solo tiene hechas las actividades de nivel 1, sus cimientos están puestos pero nada más. Una dimensión que se quedó en el primer escalón mientras las demás ya hicieron actividades de nivel 2 es la más rezagada, y suele ser la cultural, porque es la que ninguna herramienta resuelve sola.

Recorre dsomm/matriz.txt dimensión por dimensión y mira el estado de sus actividades de nivel 2 o superior.

Los niveles bajos son los que primero hay que cerrar: son los más baratos y los que sostienen a los demás. Una organización que presume una prueba de intrusión anual sin tener las pruebas de aceptación diarias ha construido el tejado antes que los muros. Por eso el primer conteo útil de una matriz es cuántas actividades de nivel 1 o 2 faltan, y no cuántas actividades hay en total.

Cuenta en dsomm/matriz.txt las actividades de nivel 1 o 2 cuyo estado es «no». Las de nivel 3 no entran en la cuenta.

No todo lo que falta se puede hacer ya. Una actividad que depende de otra no tiene sentido sin ella: no se revisan las prácticas entre equipos si ningún equipo tiene todavía un responsable de seguridad. La columna de dependencias convierte la lista de pendientes en un orden de trabajo, y evita el error de empezar por lo más llamativo.

Mira en la matriz de qué actividad depende la revisión de prácticas entre equipos y si esa actividad ya está hecha.