Brechas entre marcos

Dos marcos pueden pedir lo mismo con otras palabras, y uno puede pedir con más detalle lo que otro enuncia en general. Si se trata cada redacción como una exigencia nueva, la lista de brechas se infla y el equipo se agota atendiendo repeticiones.

Antes de contar una brecha se verifica que el requisito exija algo que el control propio no hace. Si el control ya lo hace y solo cambia la forma de decirlo, no hay brecha.

Cuando un control propio responde a varios requisitos de marcos distintos, vale la pena cuidarlo más. Si falla o se deja caducar, arrastra a todos los requisitos que sostiene. Es la cara positiva de un mapeo muchos a uno: un control bien diseñado rinde varias veces.

Abre la tabla de requisitos de Ladera y busca el control que aparece cubriendo más de ellos.

La cobertura puede ser total, parcial o ninguna. Las parciales se gestionan completando el control existente; las que no tienen cobertura necesitan un control nuevo o la decisión explícita de aceptar el riesgo. Son dos esfuerzos de tamaño muy distinto.

Cuenta los requisitos de la tabla cuya cobertura es ninguna.

Saber qué marco acumula más requisitos sin cubrir orienta la conversación con quien lo exige. No indica el marco más difícil, sino dónde la empresa está más lejos de lo que ese marco espera. Se mide contando los requisitos sin cobertura de cada uno.

Cuenta los requisitos sin cobertura por marco y escribe el que más acumula.

En la tabla de Ladera, un requisito de NIST sobre manejo de incidentes y otro del CCM sobre gestión de incidentes piden en el fondo lo mismo y ninguno tiene cobertura. Cerrarlos con dos controles separados duplica el trabajo y, peor, crea dos evidencias que pueden contradecirse.

Un único control bien definido puede responder a los dos marcos, y la matriz registra la doble correspondencia.