Las funciones de negocio de SAMM

Un modelo de madurez no es una lista de herramientas: es un mapa del trabajo de seguridad. SAMM lo organiza en tres escalones. Arriba, cinco funciones de negocio, que son las grandes áreas en las que una empresa que produce software hace seguridad. Cada función contiene tres prácticas, y eso da quince en total. Cada práctica agrupa actividades en tres niveles de madurez: las de nivel bajo suelen ser más fáciles y requieren menos formalidad que las de nivel alto.

Que la estructura sea fija es lo que permite comparar. Dos organizaciones que no usan las mismas herramientas pueden responder las mismas preguntas sobre las mismas quince prácticas, y las respuestas se pueden poner una al lado de la otra. El modelo se publica con licencia abierta, de modo que cualquiera puede usarlo sin pagar.

Abre modelo/funciones.txt y comprueba que tiene la forma descrita.

Una práctica no se cumple por existir: se cumple por las actividades que la organización realiza. El inventario de actividades de un programa se asigna a las prácticas del modelo, y al sumar por función se ve dónde se concentra el esfuerzo. Es el primer ejercicio de cualquier evaluación, y se hace con una tabla de dos columnas: qué práctica es cada actividad y a qué función pertenece esa práctica.

El archivo programa/actividades.txt lista las doce actividades de Níspero con su práctica, y modelo/funciones.txt dice a qué función pertenece cada práctica. Cruza los dos.

Contar actividades por función enseña algo más que el reparto: enseña el vacío. Un programa puede tener tres funciones fuertes y una que no existe, y nadie lo nota porque nada falla en esa área hasta que ocurre algo. Lo que no se mide ni se hace no aparece en ningún tablero.

El vacío no siempre es un descuido: a veces esa función la cubre otro equipo, por ejemplo operaciones o plataforma, y simplemente no se anotó. La primera pregunta ante un vacío es si falta el trabajo o falta la anotación.

Ante un mapa de quince prácticas surge la tentación de querer el nivel más alto en todas. SAMM no lo pide: el propio modelo dice que no exige a todas las organizaciones llegar al nivel máximo en cada categoría. El objetivo es una decisión de cada organización, y depende de qué protege, de qué amenazas enfrenta y de cuánto puede sostener.

Un nivel alto en una práctica que no mueve el riesgo es costo sin retorno; un nivel bajo en una que sí lo mueve es una exposición. Por eso la evaluación se completa con un objetivo por práctica, y la hoja de ruta se arma sobre la distancia entre ambos.