Niveles de aseguramiento STAR

STAR tiene dos niveles de uso general. El Nivel 1 es una autoevaluación: el proveedor responde el CAIQ y lo publica. Es útil y barato, pero nadie independiente lo comprobó. El Nivel 2 es una auditoría de tercero y tiene dos variantes: la Atestación, basada en criterios SOC 2 más el CCM, que caduca al año si no se actualiza, y la Certificación, basada en ISO/IEC 27001 más el CCM, que caduca a los tres años.

La diferencia que importa a un analista es quién dio fe. En el Nivel 1, el propio proveedor. En el Nivel 2, un auditor independiente o un organismo de certificación. Por eso un riesgo alto o un dato sensible suele pedir el segundo y uno bajo puede aceptar el primero.

Un candidato puede declarar un nivel que su evidencia no respalda, por descuido o por marketing. La comprobación es mecánica: se lee nivel_declarado y se compara con evidencia_entregada. Si lo entregado es un cuestionario rellenado por el propio proveedor, el nivel real es el primero, diga lo que diga la propuesta comercial.

Abre candidatos y niveles_star.

La evidencia de Nivel 2 tiene vencimiento y se cuenta desde la emisión: un año para la Atestación y tres para la Certificación. Un sello vencido sigue apareciendo en la web del proveedor, y por eso hay que calcular la fecha en lugar de fiarse de lo que se ve.

Con la fecha de corte del encargo, suma el plazo que corresponde a cada evidencia de Nivel 2 y cuenta las que ya vencieron. El Nivel 1 no se evalúa por vigencia.

Una evidencia puede estar al día y no servir. Todo informe y todo certificado tiene un alcance: la lista de servicios, sistemas y sedes que cubre. Si el servicio que se quiere contratar no figura en esa lista, el sello no dice nada sobre él.

Cruza servicios_a_contratar con candidatos. Hay un candidato con evidencia de Nivel 2 vigente cuyo alcance no incluye el servicio que Mimbre quiere de él.