Lo que le enseñas al auditor

Una evidencia creíble no empieza en la captura, empieza en el criterio. La cadena tiene eslabones: el criterio (qué debió ocurrir: «toda cuenta admin con MFA»), la población (el conjunto completo del periodo: todas las cuentas admin del trimestre), la muestra (cómo se eligió qué revisar), los artefactos (los exports, tickets y registros que lo prueban) y la conclusión (eficaz, con excepciones, o no eficaz). Saltar del criterio directo a «mira esta captura» rompe la cadena: no se sabe contra qué se compara ni si la captura representa al todo.

Lo que hace fuerte a una evidencia es que otro pueda recorrer la cadena entera y llegar a tu misma conclusión sin creerte nada.

Para probar que las cuentas admin de Cumbre tienen MFA, hay dos evidencias sobre la mesa. Una: una captura de pantalla del panel de MFA, sin fecha, sin usuario y sin que se vea de qué cuenta es. Otra: un export del sistema de identidad con la lista completa de cuentas privilegiadas, su estado de MFA, la fecha de corte y las excepciones abiertas. La segunda es evidencia fuerte —generada por el sistema, fechada, completa—; la primera es débil, porque no se puede atar a nada ni comprobar que representa al conjunto.

La regla se repite en todo el oficio: la evidencia generada por el sistema, fechada y completa, pesa; la captura suelta sin contexto casi no aporta.

Con el export de Cumbre delante, la conclusión se escribe con lo que la evidencia sostiene, no con lo que quedaría bien. El export muestra que de ocho cuentas admin, tres no tienen MFA. La conclusión no es «control eficaz» ni «control inexistente»: es «control operando con excepciones», y se nombra cuáles —las tres cuentas sin MFA— y su efecto en el riesgo residual. Redondear hacia «eficaz» para no incomodar es lo que convierte una auditoría en teatro; redondear hacia «no existe» ignora que en cinco cuentas sí opera.

La conclusión honesta es la que un auditor externo repetiría con los mismos datos: ni maquilla ni exagera, describe lo que el artefacto muestra.