Lo que dice la SoA y lo que opera

Una política firmada dice lo que la empresa quiere que ocurra. Una declaración de «implementado» en la SoA dice lo que el dueño cree que ocurre. Ninguna de las dos prueba lo que el sistema hace. La prueba de que un control opera es un dato del propio sistema, con fecha y de una fuente que no sea quien lo declara, que se pueda comparar con lo que la política exige.

Cuando política y sistema no coinciden, el hallazgo se escribe con las dos piezas una junto a la otra: «la política dice X y el sistema tiene Y».

En una SoA se puede excluir un control del Anexo A, pero la exclusión necesita una justificación que se sostenga con los hechos, no con lo que conviene. «La nube se encarga» es de las más repetidas y de las que menos se sostienen: en un servicio gestionado, el proveedor ejecuta, pero lo que se configura y lo que se comprueba sigue siendo del cliente.

El borrador excluye dos controles. Una de las dos exclusiones tiene detrás una justificación válida y la otra no. Distinguirlas exige mirar la evidencia, no solo el texto de la SoA.

La política P-RES-03 fija reglas concretas para la entrega de resultados. La exportación de configuración del depósito de resultados dice lo que hay puesto hoy. Compáralas valor por valor: lo que cuenta es el parámetro cuya configuración se aparta de lo que la política exige, y que puedas señalar en la exportación.

Un control diseñado y no operado es el hallazgo más común del oficio, y casi siempre es un número que alguien dejó en su valor por defecto.

La política exige segundo factor en las cuentas administrativas de personas, y admite excepciones aprobadas con fecha de vencimiento. Una excepción que venció es una cuenta que está incumpliendo sin ninguna cobertura. Las cuentas de servicio tienen otro tratamiento: no entran en la regla de personas y se auditan por otro lado.

Cruza tres columnas: tipo de cuenta, segundo factor y excepción. La fecha de la exportación es el 27 de enero de 2027.

Los hallazgos se mapean a marcos para que otros los lean sin que nadie les explique el contexto. La copia de seguridad que nunca se ha probado se puede ubicar en CIS Controls v8, un conjunto de 18 controles con salvaguardas concretas. Mapear bien exige fijarse en lo que el control pide, no en el nombre que suena parecido.