Cierre · CerbIA e ISO/IEC 42001
Relaciona la capacidad técnica, las decisiones de gestión y las evidencias que sostienen el uso de CerbIA.
Una decisión que puede explicarse
El aprendizaje del caso consiste en unir funcionamiento, riesgo y evidencia. Sabemos distinguir el recorrido completo de Runner de la evaluación por texto de SecurityGate; una señal del cálculo agregado; una omisión de un análisis terminado; y un resultado inseguro de una operación efectivamente impedida. Esas distinciones evitan que una decisión de gestión descanse únicamente en un booleano.
La incorporación de CerbIA debe responder a una finalidad definida y a escenarios de riesgo del sistema que lo utiliza. El expediente propuesto conecta alcance, responsables, configuración, cobertura, eficacia, impactos, operación y cambios. La revisión documental del proyecto aporta conocimiento sobre mecanismos; las conclusiones sobre una instalación necesitan además evidencia de esa instalación.
Repartir el trabajo y la autoridad
La siguiente RACI es una propuesta adaptable. R realiza el trabajo; A tiene autoridad y responde por la decisión; C aporta criterio; I recibe información. Los roles pueden combinarse si se preservan las responsabilidades y la independencia pertinente.
| Decisión o tarea | R | A | C | I |
|---|---|---|---|---|
| Definir finalidad y alcance | Responsable del sistema | Autoridad del SGIA | Usuarios, datos y seguridad | Operación |
| Integrar y comprobar el efecto | Equipo técnico | Responsable del sistema | Seguridad y operación | Autoridad del riesgo |
| Evaluar riesgos e impactos | Equipo designado | Autoridad del riesgo | Datos, usuarios y negocio | Dirección |
| Aprobar uso y excepciones significativas | Responsable del sistema | Autoridad designada | Seguridad, datos y operación | Personas afectadas cuando proceda |
| Seguir resultados y proponer ajustes | Operación | Responsable del sistema | Equipo técnico y riesgo | Dirección |
| Revisar evidencia del proceso | Revisión independiente | Responsable de la función de revisión | Áreas examinadas | Dirección |
No se exige que estos sean los nombres de la organización. Deben quedar claras las atribuciones, la competencia y la vía de escalado. La supervisión humana se diseña alrededor de decisiones significativas y capacidad de intervención.
Anexo breve: arquitectura conjunta hipotética
Como conexión con el curso, imaginemos una aplicación que consulta información mediante un componente de búsqueda estudiado en Kumoss y podría incorporar MCP Teams Server, previsto en el itinerario avanzado del curso. Situaríamos evaluaciones de contenido en las fronteras pertinentes y permisos propios en las herramientas.
El recorrido hipotético sería: consulta del usuario → evaluación de entrada → recuperación y revisión del contenido externo → modelo → comprobación de argumentos y autorización de herramienta → ejecución → revisión del resultado → evaluación antes de entregar la respuesta. Cada flecha exige decidir qué texto se observa y qué efecto todavía puede impedirse.
Esta es una propuesta docente para comparar responsabilidades entre proyectos. No describe una conexión implementada entre ellos ni una implantación de Inditex. La búsqueda, la evaluación de contenido y la autorización de operaciones cumplen funciones distintas.
Evidencia para mantener la decisión
Antes de autorizar, preguntamos si se conoce el recorrido, si la aplicación actúa y si las pruebas sostienen el criterio de aceptación. Después observamos omisiones, escapes, falsos bloqueos, tiempos y efectos sobre usuarios. Revisamos al cambiar finalidad, contenidos, dependencias o condiciones de uso.
La matriz que acompaña el módulo ayuda a relacionar aportes y brechas con las referencias de gestión. Sus correspondencias son razonamientos de aplicación, no equivalencias automáticas de cumplimiento. Una decisión responsable puede autorizar un uso limitado, exigir medidas adicionales o aplazarlo hasta disponer de evidencia suficiente.
Ficha para la dirección: qué decisión permite sostener la evidencia
CerbIA aporta evaluaciones configurables de contenido. Su incorporación debe vincularse con riesgos concretos y con la actuación de la aplicación. La dirección necesita conocer la cobertura, las limitaciones, los recursos necesarios y las condiciones para mantener o restringir el uso.
| Estado de la evidencia | Lectura para la decisión | Actuación propuesta |
|---|---|---|
| Verde | Se aportan pruebas suficientes frente a criterios definidos para un uso y versión acotados. | Mantener el uso autorizado y vigilar sus condiciones. |
| Ámbar | Hay incertidumbre, cobertura degradada o resultados pendientes relevantes. | Acotar el uso y resolver las evidencias pendientes con responsable y plazo justificados. |
| Rojo | Se demuestra un incumplimiento de un criterio crítico o el control deja pasar una acción que debía impedir. | Contener o suspender la operación afectada y tratar la causa antes de reanudarla. |
Los colores describen estados de evidencia en este modelo docente; no son un riesgo medido del producto. Una media de resultados favorables no compensa una brecha crítica. La decisión debe identificar el uso, la versión, la autoridad, las restricciones y la condición de revisión.