Escribir una recomendación defensiva trazable

Una recomendación trazable se puede seguir hacia atrás y hacia adelante. Hacia atrás: el dato de los registros que la motiva, la técnica de ATT&CK que ese dato muestra y la contramedida de D3FEND que responde a ella. Hacia adelante: el control de CIS o de NIST con el que se audita, quién la hace, para cuándo y cómo se comprueba que funcionó.

Cuando falta un eslabón, la recomendación se puede aceptar o rechazar, pero nadie puede verificarla. Y una recomendación que nadie puede verificar se queda en buena intención.

La tabla evidencia trae tres datos con su referencia, y borrador las cuatro recomendaciones. Cada recomendación debería citar una referencia de evidencia. Revísalas una por una y fíjate en la columna evidencia.

Para confiar en una recomendación, se vuelve al dato. En la tabla evidencia, cada referencia dice de qué registro sale y qué se vio. Una recomendación sobre las tareas programadas debe poder apuntar a un registro de tareas programadas, no a uno de tráfico.

«En 15 días» sin fecha de partida no se puede cumplir ni incumplir. Una recomendación bien escrita lleva la fecha límite calculada, desde la fecha del informe y con la regla que la propia empresa fija. La tabla informe trae la fecha y la regla; borrador trae el plazo de cada recomendación.

La recomendación sin responsable es otra de las que no se pueden cumplir: cuando no hay nombre, nadie la hace. Corregirla no es inventar un dueño. Es pedirlo a quien lo asigna, dejar la recomendación marcada como pendiente de dueño y no darla por aprobada hasta tenerlo.