Los dominios del CCM

Los catálogos generales hablan de «el sistema» y dejan que cada quien traduzca. Un catálogo hecho para la nube ya piensa en identidades federadas, en llaves gestionadas por el cliente, en proveedores y en que parte de la infraestructura no es tuya. Eso reduce el trabajo de traducción cuando lo usas con AWS o con Azure.

El CCM agrupa sus objetivos de control en dominios, cada uno con un código corto. El código es el atajo del oficio: decir «un hallazgo de IAM» o «una petición de LOG» ubica la conversación en una palabra.

Clasificar es leer la situación, quedarse con el verbo principal y buscar el dominio cuya descripción lo cubre. «Se crean y se rotan llaves» habla de un ciclo de vida de material criptográfico; «se revoca un acceso» habla de identidades; «se aprueba un cambio» habla de gestión de cambios.

Abre la lista de dominios y las situaciones de Ladera. Lee la S-02 y busca el dominio que se ocupa de lo que describe.

Aplica el mismo método a la situación S-03. El detalle que más confunde es que «cambio» y «configuración» van juntos en un mismo dominio, por lo que la tarea no es buscar uno que diga solo «cambio», sino uno que cubra ambas ideas.

Lee la S-03 y decide.

Clasificar los hallazgos por dominio no es un ejercicio de orden: muestra dónde se concentra el problema. Un dominio con muchos hallazgos habla de un proceso débil, no de tres olvidos independientes. Es el dato que lleva el responsable de seguridad al comité.

Cuenta los hallazgos abiertos de Ladera por dominio asignado y quédate con el que más acumula.

Algunos hallazgos tocan dos dominios a la vez: una llave de cifrado sin dueño es de criptografía y también de accesos. No se duplica el hallazgo en el informe, porque se contaría dos veces. Se decide cuál es la falla principal y se anota el otro dominio como relación.

La regla importa porque el conteo por dominio alimenta decisiones de presupuesto, y un conteo inflado por duplicados lleva a decidir mal.