Escenario: el informe único de Fintech Río Verde

Un sistema que aparece en el alcance de un solo marco merece una pregunta: o es una diferencia legítima, o alguien dejó un hueco en los otros dos. Entre los diez sistemas del inventario hay uno que solo PCI DSS tiene en su alcance y que llama a la bóveda de tarjetas.

La política pide cerrar el acceso cuando alguien se retira. Entre las tres bajas del período hay una cuenta que inició sesión después de la fecha de salida de su titular. Otra de las bajas tiene la cuenta activa, pero su último inicio es anterior a la salida: es un hallazgo distinto y no es el que se busca.

Los terceros que operan sobre sistemas del alcance de PCI DSS deben estar en la lista de ese marco. Una de las listas por marco no incluye a un proveedor que sí figura en las de ISO y de SOC 2 y que da acceso remoto a un sistema en alcance de PCI DSS.

El comité de auditoría fija un criterio de prioridad y los tres equipos reportaron hallazgos por causa. El orden de remediación sale de aplicar ese criterio a cada causa: cuántos auditores distintos la reportan, si toca el entorno de tarjetas y si el plazo comprometido ya venció. No siempre gana la causa con más hallazgos.

La Dirección de Riesgos pide la frase final del informe. Cada marco concluye con sus reglas sobre la misma evidencia, y los hallazgos de cada equipo están a la vista junto con las reglas de opinión de la firma.