Sala 4 · Cumplimiento y auditoría: evidencia, trazabilidad y plazos

Un escaneo hecho no es un escaneo válido. El externo trimestral del programa de pagos lo hace un proveedor aprobado de escaneo (ASV); el interno trimestral se hace con credenciales. Un escaneo que incumple quién lo hace o cómo se hace no cuenta, aunque su resultado sea aprobado.

La trazabilidad de un cambio responde a quién lo aprobó, quién lo aplicó y cuándo, y exige que sean personas distintas. Cuando la misma persona aprueba y aplica, el control que debía haber entre las dos manos no existió, aunque el cambio haya salido bien.

Un plazo se cuenta en horas corridas desde el momento exacto que fija la norma, sin pausar noches ni fines de semana. El aviso de un proveedor dice que existe un riesgo; el reloj de la autoridad corre desde que hay constancia razonable de acceso a datos personales, por ejemplo una descarga confirmada en el registro, y esa hora hay que anotarla con precisión.

Los contratos pueden fijar plazos más cortos que los de la autoridad, y se cuentan desde el mismo momento. A quien ya se avisó se le revisa que se haya hecho a tiempo; de quienes siguen sin aviso, el comité necesita saber a cuál le toca primero, y eso lo da la hora límite de cada contrato, no la antigüedad del contrato ni su tamaño.

Después de un acceso hay tres cifras distintas: lo que estaba en riesgo, lo que una sesión extraña tocó y lo que se confirmó descargado. Para saber a cuántas personas afecta lo tocado se suman las personas de los archivos que descargó la sesión que no viene de su origen habitual, contando cada archivo una sola vez aunque se haya descargado más de una. El cifrado en reposo no cambia la cuenta: la plataforma descifra para quien tiene una sesión aceptada.