Anatomía de un catálogo de controles

Un control es una declaración de lo que debe ocurrir para reducir un riesgo: «las cuentas con privilegios se revisan cada trimestre». Dice el resultado esperado, no el producto con que se logra. Por eso un mismo control puede cumplirse con servicios distintos en AWS y en Azure, o con un proceso humano sin ningún servicio.

Esa separación es la que permite cruzar catálogos. Si el enunciado nombrara una herramienta, solo serviría para quien la tiene; escrito como resultado, sirve a cualquier nube. Un buen enunciado se puede comprobar: alguien puede mirar la evidencia y decir si se cumple o no.

No todos los documentos son catálogos de controles, y los que lo son numeran cosas distintas: objetivos de control, controles, salvaguardas o recomendaciones de configuración. Algunos son una guía o una definición y no numeran nada. Confundirlos lleva a pedir «el control 5.1» sin saber de qué documento.

Abre el resumen de catálogos de Ladera. Fíjate en cómo se agrupa cada uno y cuántos grupos tiene; las cifras corresponden a la versión indicada en cada fila.

Una entrada de catálogo bien armada trae un identificador, un título, un enunciado, el objetivo que persigue, un tipo, un responsable, la evidencia con que se demuestra y una frecuencia. El tipo clasifica el momento en que actúa: unos controles evitan que algo ocurra, otros lo descubren cuando ya ocurrió y otros lo reparan.

Un control que revisa lo que ya está hecho y retira lo que no se justifica no impide el exceso; lo descubre y lo corrige después. Lee la entrada LP-14 de Ladera y decide.

Entre todos los campos de una entrada hay uno que decide si el control se puede auditar: el que dice qué documento, informe o registro demuestra que funciona. Sin él, el control es una promesa. Un auditor no pregunta «¿lo hacen?» sino «muéstreme qué lo prueba».

Vuelve a la entrada LP-14 y localiza el campo con el que se prepara esa demostración.

Un control sin evidencia esperada no se puede probar, y uno cuya evidencia no se renueva deja de probarse con el tiempo. Por eso el campo de frecuencia no es adorno: dice cada cuánto hay que producir de nuevo la prueba.

Si a Ladera le llega una entrada nueva que trae identificador, título y enunciado pero ni evidencia ni responsable, el catálogo no puede darla por buena todavía.