Informe único con tres secciones

El informe único no promedia tres informes ni los pega uno tras otro. Tiene una parte común (alcance, período, fecha de corte, causas y orden de remediación) y una sección por marco con su propia opinión. Lo común se escribe una sola vez; lo propio de cada marco no se mezcla: ISO recomienda o no mantener el certificado, SOC 2 emite su opinión sobre el período y PCI DSS declara conforme o no conforme.

Un informe concluye sobre la evidencia hasta el corte. Si la firma del evaluador es anterior al corte, esa firma no pudo incluir lo ocurrido entre las dos fechas, y la sección que la cita no está respaldada por completo.

Abre borrador/informe.txt. El corte de evidencia es el 30 de septiembre de 2027.

Cada afirmación del informe debe nombrar la evidencia que la sostiene, con el identificador del catálogo. Si el borrador cita una evidencia que el catálogo no tiene, la afirmación queda sin sustento, aunque suene razonable.

Compara los identificadores que citan las secciones del borrador con evidencia/matriz.txt.

Los números del informe deben coincidir con los de los equipos. El borrador cuenta los hallazgos de ISO de una manera y el resumen por auditor de otra; el resumen es el que viene del equipo y manda sobre un conteo de memoria.

Abre evidencia/hallazgos-resumen.txt.

Abre reglas/opinion.txt. Son reglas del caso: ISO recomienda mantener el certificado si no queda abierta ninguna no conformidad mayor, SOC 2 emite opinión con salvedades si hay una desviación que impide cumplir un criterio de confianza, y PCI DSS informa «no conforme» si al corte hay al menos un requisito no conforme.

El borrador termina diciendo que Aguacatal cumple los tres marcos. Con los hallazgos del resumen (ninguna no conformidad mayor, cuatro desviaciones, cuatro requisitos no conformes), esa frase no se sostiene.