El benchmark de configuración y sus niveles

Un benchmark CIS agrupa sus recomendaciones en perfiles. El perfil de Nivel 1 es la base: recomendaciones que se pueden aplicar pronto y que no deberían afectar de forma apreciable el rendimiento ni la operación. El de Nivel 2 es defensa en profundidad, pensado para entornos donde la seguridad pesa más; sus recomendaciones pueden tener un efecto adverso en la operación si se aplican sin cuidado.

Cada organización decide qué nivel adopta, y muchas empiezan en Nivel 1 y suben por partes en lo más sensible. Adoptar un nivel es una decisión que se documenta, no un defecto de la herramienta.

El porcentaje que aparece en un tablero de postura es una división: controles que pasan entre controles evaluados, dentro de un conjunto concreto. Por eso tiene que decir de qué conjunto habla. «45 %» sin más puede ser de todos los controles, solo del Nivel 1 o solo de una nube; son tres números distintos de la misma cuenta.

Abre la evaluación de Sauzal. La columna perfil_adoptado dice qué nivel decidió adoptar la empresa para cada control. Cuenta cuántos controles hay de Nivel 1 y cuántos de ellos pasan.

Los controles de un benchmark se agrupan en secciones por tema, y mirar los fallos por sección enseña más que la lista plana. Una sección con muchos fallos suele delatar una causa común: un equipo sin una norma, una plantilla de creación mal hecha o un servicio que nadie asumió.

Cuenta los controles en FALLA de cada sección y quédate con la sección que más acumula.

Un control está en FALLA tanto si un recurso lo incumple como si lo incumplen todos, pero no son el mismo problema. Un fallo en uno de catorce suele ser un descuido; un fallo en catorce de catorce suele ser una decisión de diseño, o una ausencia de decisión: nadie configuró nunca ese ajuste en ninguna parte.

Las columnas recursos_fallan y recursos_total separan los dos casos, y conviene leerlas junto al resultado.

Sauzal podría presentar el porcentaje de cumplimiento como una única cifra de éxito o de fracaso, y las dos lecturas serían pobres. El porcentaje cuenta controles, no riesgo: pesa igual el control que falla en un recurso de pruebas que el que falla en la cuenta de facturación, y pesa igual un fallo que un centenar.

Sirve para ver la tendencia y para comparar el estado de una cuenta consigo misma de un mes a otro. No sirve, solo, para decidir qué arreglar primero: para eso hace falta saber qué toca el control mal puesto.