Los pasos
- Elegir el marco y su edición, y definir el alcance.
- Desglosarlo en requisitos que se puedan comprobar uno a uno.
- Reunir lo que existe: documentos, registros, configuraciones.
- Entrevistar a quienes hacen el trabajo.
- Calificar cada requisito con una escala sencilla.
- Priorizar las brechas según el riesgo y los plazos legales o contractuales.
- Redactar el plan de acción con responsables y fechas.
Una escala de calificación
- Cumplido: implantado, con evidencia.
- Cumplido en parte: existe, pero incompleto, sin documentar o sin demostrar.
- No cumplido: ausente.
- No aplicable: con el motivo.
Qué contiene el informe
- El alcance, el marco y la fecha.
- Un resumen por dominio.
- Cada brecha: el requisito, lo que se vio y lo que falta.
- Las prioridades y el plan de acción.
¿Análisis de brechas o auditoría?
Un análisis de brechas le prepara y busca encontrarlo todo. Una auditoría da una conclusión independiente frente a unos criterios. Un análisis de brechas no le da ningún certificado, pero le dice cuándo está listo para obtenerlo.
Preguntas
- ¿Quién debe hacer un análisis de brechas?
- Alguien que conozca el marco y pueda ver las evidencias. Los equipos internos pueden hacerlo; una mirada externa ayuda cuando el equipo construyó él mismo los controles.
- ¿Cuánto tiempo es válido un análisis de brechas?
- Es una foto en una fecha. Repítalo tras cambios importantes o cuando cambie el marco.