Lección 6 · Estudio de caso: aportes, brechas y evidencia para el SGIA

La pregunta que debe responder el SGIA

¿El control técnico garantiza el resultado deseado o deja brechas que necesitan tratamiento? El análisis distingue capacidad implementada, condiciones de uso, actuación de la aplicación y decisión organizativa. Un resultado técnico favorable no acredita por sí solo el cumplimiento normativo ni que la organización haya aceptado el riesgo residual.

Cadena de suministro y riesgo heredado

El LLM no agota la cadena de dependencias. Bibliotecas, motores, detectores, SDK, servicios y credenciales introducen capacidades y condiciones propias. La tabla identifica capas presentes o previstas en la versión examinada; no es un inventario completo de una instalación ni una lista de vulnerabilidades confirmadas.

Para trasladar esa lectura a una implantación se necesita conocer versiones y procedencia, licencias aplicables, dependencias transitivas, avisos de seguridad pertinentes, flujos de datos, accesos y responsables de actualización. El repositorio y su licencia raíz no resuelven por sí solos esas cuestiones. Una biblioteca opcional o un servicio remoto no se presume instalado o utilizado sin evidencia.

Caso de discusión resuelto: un canal configurado y permisos de equipo

Situación propuesta. Un cliente utiliza un servidor configurado para un único canal público del equipo. Se ha concedido ChannelMessage.Read.Group mediante RSC. La pregunta es si el alcance de datos coincide con la finalidad del uso.

Qué conocemos. El código enruta sus consultas al equipo y canal configurados. El permiso RSC citado corresponde al equipo y sus canales. La variable de canal no reduce la concesión. Que un canal sea público dentro de Teams no demuestra que sus datos sean públicos en Internet ni que puedan tratarse para cualquier finalidad.

Riesgo identificado. La credencial puede disponer de un alcance superior al necesario para el uso descrito. Eso abre una pregunta de minimización y mínimo privilegio. No acredita que se hayan leído otros canales ni demuestra por sí solo una infracción jurídica. Hay que contrastar finalidad, datos personales, necesidad, concesiones efectivas y medidas que limiten el uso. La Comisión Europea relaciona minimización con los datos necesarios para una finalidad.

Respuesta razonada. Si solo se justifica un canal, hay que justificar el alcance concedido y valorar límites o una separación de recursos que se ajuste a la necesidad. Una restricción del cliente y un permiso de Microsoft son capas distintas. La conclusión depende de su efecto conjunto y de la evidencia; no se propone cambiar permisos de un tenant real durante este estudio.

Dónde interviene la persona responsable

La secuencia del uso gobernado es lectura, borrador, revisión humana y envío autorizado. El borrador lo produce el cliente o el proceso: el servidor no incorpora una herramienta de borrador ni una aprobación humana obligatoria en start_thread o update_thread.

El responsable con atribuciones valida contenido, destino e identidad antes de una comunicación que requiera su autorización. El registro del envío permite comprobar el efecto; no sustituye la decisión anterior. Los permisos de aplicación, la identidad del solicitante y la autoridad para publicar se analizan por separado.

Qué evidencia aporta el monográfico y qué falta en la organización

El estudio documenta la lectura de una versión del componente y justifica preguntas de riesgo y auditoría. Puede incorporarse como entrada a esa evaluación, con fecha, alcance y procedencia. No acredita que una empresa haya configurado el control, aplicado una política o revisado sus resultados.

Para valorar el funcionamiento se necesitan datos de la instalación: configuración, identidades y atribuciones, artefactos relacionados, resultados observados y decisiones. Una conclusión de auditoría añade el criterio aplicable y evidencia suficiente. No basta con adjuntar este material al expediente para demostrar la eficacia del control.

Actividad para comprobar lo aprendido

Completa primero la versión para el alumno a partir del caso y las preguntas. Después contrasta tu razonamiento con la solución orientativa y sus criterios. Una respuesta completa identifica la conclusión que permiten los datos, su límite y la evidencia pendiente; no rellena las ausencias con hechos inventados.

Los modelos de autorización, calibración y minimización son soportes para el ejercicio. No son formularios obligatorios de ISO/IEC 42001 ni autorizaciones o firmas válidas. El Excel permite trabajar las tres fichas y la checklist; Word y PDF ofrecen formatos alternativos de la actividad correspondiente.

La checklist utiliza CUMPLE, NO CUMPLE, EVIDENCIA REQUERIDA y NO APLICA para interpretar los supuestos. La falta de evidencia no se transforma automáticamente en incumplimiento. NO APLICA necesita una justificación. El criterio es el definido en la pregunta o en el proceso pertinente, no una obligación universal inventada.

La rúbrica distingue respuesta correcta, parcial o a revisar según conclusión, razonamiento y tratamiento de la evidencia. Completar una celda no produce una calificación automática. Las cifras de CerbIA son datos sintéticos del ejercicio y no resultados de rendimiento del proyecto.

Ampliación resuelta: tres riesgos de privacidad y una decisión pendiente

La actividad M10-M13 amplía la minimización con fuga hacia cliente/modelo, acceso innecesario al historial y retención de trazas de depuración. Para cada riesgo pide daño a las personas, medidas propuestas, evidencia y responsable. La matriz y el cribado se explican en la lección 4. No se ha demostrado una fuga, una lectura indebida ni una conservación concreta.

La solución conserva pendiente la prueba de permisos efectivos, rutas y denegaciones, flujos a proveedores y configuración de logs, conservación y borrado. No inventa puntuaciones de riesgo residual. Para el cribado EIPD faltan categorías, escala, contexto, fines y demás factores pertinentes; RSC de equipo no decide por sí solo.

El responsable del tratamiento documenta el razonamiento y recaba asesoramiento del DPD si está designado. Si es probable un alto riesgo, realiza una EIPD antes del tratamiento; ante alto riesgo residual sin mitigación suficiente, examina la consulta previa del artículo 36 RGPD. El formulario del ejercicio es preliminar y no reemplaza una EIPD completa. La conclusión del supuesto sigue siendo EVIDENCIA REQUERIDA, no una aprobación de uso.

Flujo de decisiones por responsabilidades