La norma de cien páginas
Casi toda organización tiene una: un documento extenso, escrito con buena intención, que mezcla principios, recomendaciones, obligaciones y ejemplos. Nadie la lee entera, nadie sabe qué parte es obligatoria y nadie puede comprobar si un diseño la cumple. En la práctica, no gobierna nada.
Cinco rasgos de una norma que funciona
Corta. Cada regla en una o dos frases. Las explicaciones largas van aparte, enlazadas.
Neutra. Describe qué se exige, no con qué herramienta ni de qué proveedor. "Todo dato en reposo va cifrado" sobrevive a un cambio de nube; "activar la opción X del servicio Y" no.
Con nivel explícito. Cada regla dice si es obligatoria, recomendada u orientativa. Sin esa distinción, todo parece obligatorio y nada se cumple.
Comprobable. Cada regla obligatoria responde a la pregunta "¿cómo sé si se cumple?". Si no hay respuesta, no es una regla, es un deseo.
Separada pero ensamblable. Una norma por tema (identidad, red, datos, costos, documentación), cada una independiente, que se pueden combinar en un solo documento cuando hace falta.
De vaga a comprobable
La mayor parte del trabajo de escribir una norma es este: tomar una intención razonable y convertirla en algo que se pueda verificar. "Seguridad adecuada" no se puede revisar; "todo dato en reposo y en tránsito va cifrado" sí, y además se puede comprobar automáticamente (como en reglas como código).
Basada en lo que ya existe
Una norma propia no tiene que inventarlo todo. Lo sensato es partir de marcos reconocidos (los marcos de buena arquitectura de cada proveedor, estándares de seguridad, el propio FOCUS para costos) y adaptarlos a la organización. Lo que hace propia a la norma no es la originalidad, sino que refleja decisiones tomadas y escritas.
Una norma así, el día que se publica, ya empieza a quedarse vieja. Por eso necesita un ciclo de vida.
Cómo lo aplicamos: Gobierno Multicloud.