Cumplimiento en la práctica: controles, evidencias y auditorías

Del requisito al control

• Requisito: lo que exige un estándar o una ley, en sus propias palabras.
• Control: lo que realmente hace para cumplirlo, escrito de forma que pueda probarse (quién, qué, con qué frecuencia).
• Responsable: la persona que responde por el funcionamiento del control, no el equipo de cumplimiento.
• Evidencia: prueba de que el control operó durante el período, como una exportación de configuración, un log, un ticket, una aprobación.
• Prueba: una verificación periódica de que el control funciona, realizada por su responsable y por una revisión independiente.

Evidencia continua

DATE=$(date -u +%F)
mkdir -p evidence/$DATE

# quién tiene acceso de administrador a la cuenta de nube
aws iam list-entities-for-policy --policy-arn arn:aws:iam::aws:policy/AdministratorAccess \
  > evidence/$DATE/aws-admin-principals.json

# se exige MFA para los usuarios de la consola
aws iam generate-credential-report >/dev/null && aws iam get-credential-report --query Content --output text \
  | base64 -d > evidence/$DATE/iam-credential-report.csv

# protección de ramas en el repositorio principal
gh api repos/example/app/branches/main/protection > evidence/$DATE/branch-protection.json

sha256sum evidence/$DATE/* > evidence/$DATE/SHA256SUMS

La auditoría

• El alcance y el período se acuerdan primero; sepa qué está dentro y qué fuera.
• Los auditores piden una muestra de evidencias por cada control. Organícela por control, con nombres y fechas que tengan sentido.
• Sea honesto sobre las excepciones: una brecha documentada con un plan de acción es mucho mejor que una que encuentra el auditor.
• Los hallazgos pasan a ser entradas del registro de riesgos y trabajo con seguimiento, con responsables y fechas.
• Mantenga un único punto de contacto y una cadencia tranquila; las solicitudes sorpresa suelen significar evidencia faltante.

Evitar la seguridad de casilla marcada

• Pregunte de cada control qué riesgo reduce. Si nadie puede decirlo, cuestiónelo.
• Prefiera verificaciones automatizadas a capturas de pantalla y atestaciones anuales.
• Use un control para satisfacer varios marcos en lugar de un proceso por estándar.
• Comparta el calendario de cumplimiento con ingeniería para que las solicitudes sean trabajo planificado y no interrupciones.