El ciclo de un cambio de reglas

Un cambio de reglas sigue una cadena corta. La solicitud dice qué flujo se quiere abrir o cerrar, para quién y por qué. La aprobación la da quien responde por el riesgo, no quien se beneficia del cambio. La implementación la hace el equipo que administra el equipo de red. Y la verificación comprueba el resultado: que lo pedido quedó abierto o cerrado, y que lo que nadie pidió sigue como estaba.

Cada etapa responde a un riesgo distinto. Sin solicitud no hay motivo escrito; sin aprobación, cambia cualquiera; sin verificación, nadie sabe si la regla hace lo que se creyó. El control 8.32 del Anexo A de ISO/IEC 27001:2022 trata la gestión de cambios como práctica general de TI; en este módulo se aplica al caso concreto de las reglas de red.

Si el procedimiento dice que la aprobación es previa, la fecha de aprobación tiene que ser anterior o igual a la de implementación. Una aprobación posterior es una regularización: el cambio ya estaba en producción cuando alguien lo autorizó. Puede ocurrir en una urgencia y debe estar prevista en el procedimiento; aquí el procedimiento no prevé urgencias.

Consulta solicitudes y compara las columnas aprobada e implementada fila por fila.

La separación de funciones es la razón por la que el procedimiento exige que quien aprueba no sea quien pide. Si coinciden, nadie más mira el riesgo: la misma persona decide que el cambio es buena idea y lo da por válido. En una exportación se ve comparando pedida_por con aprobada_por.

La columna verificada indica si alguien comprobó el resultado. Un cambio sin verificar no es necesariamente un cambio mal hecho, pero es un cambio del que no hay prueba de que esté bien hecho, y eso es lo que la auditoría pregunta. Filtra la tabla y cuenta.

Verificar no es releer la solicitud ni confirmar que el ticket está cerrado. Es mirar el estado final de la regla y compararlo con lo aprobado. Un flujo que se pidió abrir debe funcionar; un flujo vecino que no se pidió debe seguir cerrado. Lo segundo se olvida a menudo, y es lo que detecta una regla escrita con un rango más ancho que el pedido.