Cruces entre marcos
La pregunta “¿tienen control de acceso con doble factor?” aparece en la Ley 21.663, en la Ley 21.719 y en ISO 27001. Es la misma realidad de tu empresa respondida tres veces, con tres redacciones distintas y tres personas transcribiendo la misma evidencia.
Un cruce entre marcos existe para cortar eso. Es la pieza que convierte “tenemos tres normas encima” en “evaluamos una vez y cumplimos varias”.
Qué es un cruce
Sección titulada «Qué es un cruce»Un cruce es un mapa de correspondencias entre los requisitos de dos marcos:
declara que este requisito de la Ley 21.663 se corresponde con estas cláusulas y
controles de ISO 27001, y con qué fuerza. Vive en el menú como Catalogar →
Mapping, en /requirement-mapping-sets, y se carga como cualquier otra
biblioteca desde /libraries.
Un cruce tiene dirección: que exista el mapa “Ley 21.663 → ISO 27001” no implica que exista el de vuelta. Si no ves la auditoría que esperabas al intentar traer datos, es probable que el cruce solo exista en el otro sentido.
Cómo se usa
Sección titulada «Cómo se usa»-
Abre la auditoría que quieres rellenar (el destino), en Cumplimiento → Auditorías.
-
Usa la acción Mapear desde una auditoría.
-
Elige la auditoría de origen. En la lista solo aparecen las que tienen ruta de cruce hacia esta: si el desplegable sale vacío, no hay camino entre esos marcos.
-
Preceptix abre la Vista previa del mapeo. Nada se ha escrito todavía.
-
Revisa la vista previa y confirma con Confirmar mapeo.
La vista previa es lo importante de todo el proceso. Te muestra la cabecera Fuente → Objetivo —para que verifiques que no invertiste el sentido—, cuántos requisitos serán actualizados, dos barras comparadas (Estado actual y Estado previsto) con la distribución de resultados de la auditoría destino, y una tabla de Diferencias de Requisitos con el Requisito de origen del que viene cada respuesta, agrupado por marco.
Qué traslada y qué no
Sección titulada «Qué traslada y qué no»Esta es la parte que hay que entender de verdad, porque explica todo lo que después parece raro.
Sí viaja:
- El Resultado del requisito: Conforme, Parcialmente conforme, No conforme o No aplicable.
- La Observación, que se agrega al texto existente en vez de reemplazarlo. Si ese mismo texto ya estaba, no se duplica.
- Los Controles aplicados vinculados al requisito de origen.
- Las Evidencias, cuando la correspondencia entre los dos requisitos es de cobertura total.
No viaja:
- El Estado del requisito (Para hacer, En progreso, En revisión, Hecho). Lo que llega es un borrador de respuesta, no un requisito cerrado.
De ahí se sigue la consecuencia que más confunde: después de un cruce, la Progresión de la auditoría destino no se mueve. No está roto. La Progresión cuenta requisitos cerrados, y un requisito pre-rellenado por cruce todavía no lo está: falta que una persona lo lea, lo valide y lo marque como hecho. En el plan de evaluación de Programas ese pendiente aparece explícito, como requisitos “pre-rellenados por cruce” que hay que revisar y cerrar.
Cobertura total y cobertura parcial
Sección titulada «Cobertura total y cobertura parcial»Cada correspondencia tiene una fuerza. Cuando el requisito de origen cubre por completo al de destino, la cobertura es total; cuando lo cubre solo en parte —el caso habitual entre una ley y una norma técnica—, es parcial.
La cobertura parcial también traslada. Es un error frecuente descartar un cruce porque “casi todo es parcial”: en una auditoría recién creada, donde todos los requisitos están en No evaluado, una correspondencia parcial llena igual. La diferencia es de prudencia, no de utilidad.
Dos garantías que puedes dar por sentadas
Sección titulada «Dos garantías que puedes dar por sentadas»Es idempotente. Correr el mismo cruce dos veces no duplica nada ni empeora nada. La segunda pasada simplemente no encuentra qué actualizar, y te lo dice: esta auditoría de origen no cambiaría nada en la auditoría actual. Puedes re-correrlo cada vez que avances en el marco de origen, sin miedo.
Nunca pisa lo que respondiste a mano. El trabajo humano manda. Si alguien de tu equipo ya evaluó un requisito, el cruce no le sobrescribe la respuesta. Por eso el orden natural es cosechar primero y afinar después: lo que corrijas a mano queda firme.
Un caso completo
Sección titulada «Un caso completo»Marco Zúñiga tiene tres auditorías abiertas sobre el alcance Centro de Control: ISO 27001:2022, Ley 21.663 y Ley 21.719. Empieza por ISO 27001 porque el plan de evaluación se la puso primera: es la que más respuestas les regala a las otras dos.
Tarda tres semanas en responderla con el equipo. Cuando termina, abre la auditoría de la Ley 21.663, usa Mapear desde una auditoría y elige la de ISO 27001. La vista previa le anuncia que una parte importante de los deberes de la ley pasaría de No evaluado a Conforme o Parcialmente conforme, y le muestra requisito por requisito de qué cláusula ISO viene cada respuesta. Confirma.
Entonces ocurre lo que esperaba y lo que no. Lo que esperaba: la auditoría de la 21.663 dejó de estar en blanco —gestión de riesgos, continuidad y control de acceso llegaron respondidos, con los controles aplicados de ISO ya vinculados—. Lo que no esperaba: la Progresión sigue en 0 %. Nada se cerró; lo que hay es un borrador.
Marco recorre los requisitos trasladados uno por uno. La mayoría los confirma y los marca como hechos. Tres los corrige: los deberes de reporte al CSIRT Nacional llegaron como Conforme desde el control de gestión de incidentes de ISO 27001, pero Cordillera todavía no tiene escrito el procedimiento con los plazos de la ley chilena. Los baja a Parcialmente conforme y abre las tareas correspondientes.
Ese es el valor del cruce: no le ahorró el criterio, le ahorró la transcripción. Y sus tres correcciones quedan protegidas —cuando vuelva a cosechar desde ISO el próximo trimestre, el cruce no las tocará—.