Alcance común y matriz de reutilización

Un alcance dice qué sistemas, qué procesos y qué ubicaciones entran en una auditoría. Los tres marcos lo escriben distinto: la certificación ISO/IEC 27001 habla del sistema de gestión; el informe SOC 2 habla de la descripción del servicio que la propia empresa firma; PCI DSS habla del entorno de datos de tarjeta y de todo lo que lo toca o lo afecta.

Por eso los tres textos casi nunca coinciden del todo. Si se piden pruebas sin compararlos, unas se piden de más y otras faltan justo donde un marco sí mira.

Abre la carpeta alcance/ y la de inventario/. Cada texto de alcance lista los sistemas por su identificador (S-01, S-02…); el inventario dice cómo se llama cada uno. Un sistema puede estar en dos alcances y faltar en el tercero. Es la diferencia que más hallazgos genera: alguien prueba un sistema que otro marco ni mira.

Cruza las tres listas por identificador. Busca el sistema que aparece en los alcances de PCI DSS y de SOC 2 y falta en el de ISO/IEC 27001.

El núcleo común es lo que los tres marcos miran a la vez. Ahí se concentra el ahorro: una prueba bien hecha sobre un sistema del núcleo sirve a tres informes. Fuera del núcleo, cada marco tiene sus pruebas propias.

Con las mismas listas de identificadores, cuenta los sistemas que están en los tres alcances a la vez.

La matriz de reutilización pone en filas las evidencias y en columnas los marcos. Una fila con tres marcas se pide una vez y se usa tres veces. Una fila con una sola marca es trabajo propio de ese marco, y tampoco se descarta: si falta, ese marco queda sin sustento aunque los otros dos estén completos.

Abre matriz/evidencias.txt. Hay evidencias que solo pide ISO, una que solo pide SOC 2 y una que solo pide PCI DSS.

La cifra que le importa a la gerencia es cuántas de las pruebas se piden una vez y sirven a todos. Es una cuenta sobre la matriz, y se hace con ella delante, no de memoria.

Cuenta las filas de la matriz que tienen marca en los tres marcos.