La madurez de un control va de 0 a 5, derivada de la evidencia real disponible (respuestas de entrevista, hallazgos técnicos, documentos). No es una opinión — es el resultado de una fórmula que combina el nivel de las respuestas de escala con las reglas de tope (qué tan alto puede llegar la madurez si cierto hallazgo negativo sigue presente, sin importar cuántas otras señales positivas haya).
Un control con MFA "informal" (sin registro) nunca puede superar madurez 2, aunque todo lo demás alrededor esté perfecto — la regla de tope existe justamente para eso.
¿Te fue útil este artículo?