Acuerdos y evidencia de cumplimiento

Un acuerdo con un tercero contiene promesas: «aplicamos MFA», «avisamos de incidentes en un plazo». Por sí solas no dicen nada sobre si se cumplen. La evidencia independiente es lo que las convierte en un hecho comprobable: un informe de auditoría o una certificación emitidos por quien no tiene interés en que salgan bien.

Marcos como ISO/IEC 27002 y NIST SP 800-53 dedican familias de controles a las relaciones con proveedores y al personal externo, y todos coinciden en lo mismo: se pide, se registra y se revisa en el tiempo, porque la evidencia caduca y los alcances cambian.

El derecho a auditar es lo que permite a la aerolínea, ante una duda o un incidente, ir a mirar. Sin él, la única fuente es lo que el tercero decida mostrar. Es una cláusula que se pierde en las negociaciones, porque cuesta al proveedor y no se nota hasta que hace falta.

Abre acuerdos.txt y busca el acuerdo cuya columna «derecho a auditar» dice no.

Una certificación o un informe vale por el periodo que cubre. Pasada la fecha «vigente hasta», dice lo que el tercero hacía, no lo que hace. En esta consola, una evidencia está vencida si su fecha es anterior al corte (2026-10-07); si es igual al corte, aún vale. Un tercero sin evidencia (ninguna) no tiene una vencida: no tiene ninguna, y es un hallazgo distinto.

Cuenta las evidencias vencidas en evidencias.txt, con cuidado en las fechas cercanas al corte.

El alcance de un informe lista lo que se auditó. Es fácil que un proveedor aporte un informe real y vigente que cubre su portal público, y que la aerolínea le haya contratado otro sistema, el que guarda los datos de sus pasajeros. El documento existe, tiene firma y fecha, y no prueba nada sobre lo que importa.

Cruza el «sistema contratado» de acuerdos.txt con el «alcance del informe» de evidencias.txt para cada tercero.

El aviso de incidente fija en cuántas horas debe contar el tercero que algo le pasó. Cada hora de silencio es una hora en que la aerolínea no puede contener, notificar ni investigar. La política de la aerolínea pide 24 horas o menos. Un acuerdo con más horas no es ilegal: es un riesgo aceptado, y alguien debe haberlo aceptado por escrito.

Cuenta en acuerdos.txt los acuerdos cuyo aviso supera las 24 horas de la política.