Idioma / Language: Español · English
Dos catálogos de bastionado, dos formas de responder a la misma pregunta
Dos catálogos de bastionado nacidos de tradiciones distintas —el consenso de una comunidad técnica internacional y la autoridad de un organismo de Estado— examinan la misma máquina y no siempre dicen lo mismo. Comparamos su arquitectura, su alcance y, sobre todo, lo que cada uno puede sostener en un procedimiento judicial.
Dos maneras de escribir la misma frase
Un perito recibe la imagen de un servidor comprometido y una pregunta que parece sencilla: ¿estaba bien configurada esa máquina el día del ataque? La respuesta depende por completo del catálogo con el que se compare. Si el informe se apoya en los CIS Benchmarks, el resultado será una puntuación de conformidad sobre varios centenares de comprobaciones automatizadas, con su porcentaje y su listado de desviaciones. Si se apoya en las guías CCN-STIC, el resultado será un juicio sobre el cumplimiento de una norma jurídica española, el Esquema Nacional de Seguridad, con consecuencias administrativas concretas. Las dos respuestas pueden ser correctas y llegar a conclusiones distintas sobre la misma máquina.
(más…)
