Pruebas de resiliencia y su evidencia

Los tipos de prueba que menciona el reglamento son variados: análisis de vulnerabilidades, pruebas de rendimiento, pruebas basadas en escenarios, pruebas de extremo a extremo, revisiones de código y pruebas de penetración, entre otras. Cada tipo responde a una pregunta distinta, y lo que se enseña al revisor es siempre lo mismo: la evidencia de que la prueba ocurrió.

Para un analista GRC, una prueba sin evidencia es una afirmación. El plan de pruebas dice lo que se pretende; un correo dice que alguien lo cree; el informe firmado dice qué se probó, cuándo, con qué resultado y qué quedó abierto.

El criterio 2 de la tabla criterios_de_evidencia pide un informe firmado. La columna informe del programa trae su identificador o un guion si no existe. Una prueba ya ejecutada sin informe es una de las peores combinaciones: el banco pagó la prueba y no puede demostrarla, y los hallazgos quedan sin dueño.

El criterio 3 exige independencia: quien ejecuta la prueba no puede ser quien opera el sistema que se prueba. Cuando coinciden, quien evalúa califica su propio trabajo y los hallazgos incómodos tienden a no aparecer. La tabla sistemas_criticos dice qué equipo opera o es dueño de cada sistema; el programa dice quién ejecutó cada prueba.

El criterio 5 pide que cada sistema crítico tenga una prueba ejecutada en los 12 meses anteriores al corte. Una prueba programada para el futuro no cuenta: es intención. El análisis consiste en recorrer los cinco sistemas críticos y comprobar que cada uno aparece en alguna prueba ya ejecutada.

Probar sirve cuando lo encontrado se cierra. El criterio 4 pide responsable y fecha para cada hallazgo, y el comité querrá saber cuántos hay en total antes de decidir el esfuerzo. La columna hallazgos_abiertos trae el número de cada prueba; las que no se ejecutaron no tienen número.