Qué pide RA-5 y cómo se evidencia

RA-5 se llama «vigilancia y escaneo de vulnerabilidades» y tiene seis partes, de la a a la f: escanear, usar herramientas que automaticen, analizar los informes, remediar, compartir lo aprendido y mantener actualizada la base de lo que se busca.

Lo importante para quien lo aplica es que el control no dice «escanee cada semana». Trae huecos entre corchetes, llamados parámetros, que cada organización llena por su cuenta según su riesgo. Una auditoría no pregunta si el número es bonito: pregunta si existe, si está escrito y si lo que se hace coincide con lo escrito.

Abre la consola y consulta parametros_cortijo. Es lo que la política POL-VUL-03 de Cortijo fija para los parámetros del control, con la cláusula donde está. Para una auditoría, un parámetro sin cláusula que lo respalde no existe.

Lee la fila de los activos internos.

Cada parte de RA-5 necesita un artefacto que la respalde: un informe, una configuración, un acta, una exportación. La carpeta de evidencia de Cortijo tiene una fila por parte. Consulta evidencia_cortijo y fíjate en el estado de cada una.

No basta con hacer algo; hay que poder enseñarlo con fecha. Una parte hecha sin rastro cuenta, para el auditor, como no hecha.

La parte d pide remediar en los tiempos definidos. La evidencia natural no es la política sino los tickets: cuándo se abrieron, cuándo se cerraron y contra qué plazo. Consulta tickets_muestra: la columna dias_abierto es la diferencia entre apertura y cierre, y plazo_dias es el plazo de la política para esa severidad.

Un ticket cerrado fuera de plazo no es una mentira, pero es un hallazgo de auditoría si nadie dejó escrito por qué.

RA-5 trae mejoras numeradas, entre paréntesis, que añaden exigencias para organizaciones más exigentes: cobertura, acceso, tendencias, divulgación pública. Consulta mejoras_ra5 y relaciona lo que Cortijo ya hace con la mejora que lo trata. Cortijo escanea sus servidores internos con una credencial de servicio con privilegios, para ver configuraciones y parches que un escaneo desde fuera no ve.