Reparto de responsabilidades entre desarrollo, plataforma y seguridad

5 tareas · 38 min · Principiante

La mayoría de las cosas de seguridad que se quedan sin hacer no se quedan sin hacer por falta de herramienta, sino porque cada equipo cree que le toca al otro. Una matriz de responsabilidades (RACI) escribe quién ejecuta, quién responde, a quién se consulta y a quién se informa en cada actividad. Con la matriz de Brezo Seguros y los incidentes de proceso de su tercer trimestre aprendes a leerla como un auditor: dónde hay dos que responden, dónde nadie ejecuta y cuánto pesa cada equipo. Es consulta de documentos ficticios; no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

RACI son cuatro papeles. R (responsible) ejecuta la tarea; puede haber varios. A (accountable) responde del resultado final y es quien da el visto bueno; la regla de oro es que haya una sola A por actividad. C (consulted) aporta antes de decidir, y I (informed) se entera después.

Por qué una sola A: si dos equipos responden del mismo resultado, en la práctica ninguno lo hace, porque cada uno supone que el otro se ocupa. Y si no hay ninguna A, nadie rinde cuentas cuando falla. La A y la R pueden recaer en el mismo equipo (el que lo hace y responde), pero una actividad sin ninguna R no se ejecuta nunca.

Responde para continuar

Una actividad de la matriz tiene dos equipos marcados con A. ¿Qué problema produce?

El resultado queda doblemente garantizado, ya que dos equipos revisan la misma actividad de forma independiente y cruzada Ninguno responde, porque dos letras iguales en la misma fila se anulan entre sí en la lectura de la matriz Ambos responden del resultado y cada uno supone que el otro lo ejecuta, así que acaba sin hacerse o duplicándose

Ver pista de ayuda

Piensa en el incidente típico: «yo creía que lo hacía el otro equipo».

Leer una matriz como auditor es recorrer cada fila y comprobar tres cosas: que tenga exactamente una A, al menos una R y que las C y las I tengan sentido. Las celdas con dos letras, como AR, cuentan las dos: quien ejecuta y además responde.

Abre raci/matriz.txt y revisa la columna de cada equipo fila por fila.

Responde para continuar

Escribe el identificador de la actividad que tiene más de un equipo con la letra A.

Ver pista de ayuda

Cuenta las A de cada fila, incluidas las de celdas como AR. Solo una fila tiene dos.

El defecto contrario también existe: una actividad donde hay una A clara, pero ningún equipo con R. El que responde cree que alguien lo ejecuta y los demás solo son consultados o informados. Queda en la matriz, pero en la práctica no se hace, y por eso aparece en los incidentes del trimestre como «lo dimos por hecho».

Revisa de nuevo raci/matriz.txt buscando la fila donde ninguna celda lleve R.

Responde para continuar

Escribe el identificador de la actividad donde alguien responde pero ningún equipo la ejecuta.

Ver pista de ayuda

Busca una fila donde ninguna de las tres columnas contenga la letra R, ni sola ni dentro de AR.

La matriz también sirve para ver la carga de cada equipo. Un equipo de seguridad que responde (A) de casi todo se convierte en cuello de botella; uno que no responde de nada ha entregado la seguridad a otros sin querer. Contar las A por columna es la primera lectura de equilibrio.

Cuenta en raci/matriz.txt en cuántas actividades responde (lleva A, sola o dentro de AR) la columna de seguridad.

Responde para continuar

¿En cuántas actividades de la matriz responde (A) el equipo de seguridad? Escribe solo el número.

Ver pista de ayuda

Mira la última columna, SEG, y cuenta las celdas con A, también las que dicen AR.

El primer incidente del trimestre de Brezo (incidentes-del-trimestre.txt) muestra qué cuesta una fila mal escrita: un secreto filtrado tardó once días en rotarse porque dos equipos esperaban al otro. Arreglar la matriz no es solo cambiar una letra: hay que decidir quién responde, quién ejecuta y a quién se consulta, y que todos lo sepan.

Relee el incidente y la fila de la actividad afectada.

Responde para continuar

¿Cómo se corrige mejor la actividad de rotar un secreto filtrado?

Dejar una sola A en el equipo dueño del servicio, que ejecuta la rotación; plataforma como C y seguridad informada del cierre Quitar la A de desarrollo y de plataforma para que seguridad responda de todo y rote ella cada secreto que se filtre en cualquier servicio Mantener las dos A y añadir un plazo de once días, para que cada equipo tenga un límite escrito de espera

Ver pista de ayuda

La corrección tiene una sola A, una R clara y mantiene a quien aporta como C.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Las cuatro letras y la regla de la A

2 La actividad con dos que responden Lab

3 La actividad que nadie ejecuta Lab

4 Cuánto responde seguridad Lab

5 Arreglar la fila del secreto filtrado Lab

Whoami-Labs Pro utiliza cookies