Evidencias de controles técnicos

Una exportación de la configuración dice cómo está algo hoy. Un control, en cambio, se audita sobre un periodo: lo que importa es desde cuándo y hasta cuándo estuvo activo. La respuesta no está en la foto de hoy sino en el historial de cambios de esa configuración, que el servidor registra con fecha y con quién lo hizo.

Cuando la foto de hoy y el historial parecen contar cosas distintas, manda el historial para saber cuándo cambió algo.

Un control que opera la mitad del periodo no es un control que opera. Para clasificar un hallazgo la auditora cuenta días, y la empresa debe contar los mismos días con las mismas reglas. Aquí la convención es la habitual en estos recuentos: el primer día del periodo cuenta y el día de la activación ya no, porque ese día el control ya estaba.

Hacer el recuento antes de recibir el informe evita discutir cifras que se pueden comprobar con una resta.

La tentación al ver una exportación limpia es presentarla como prueba de todo el periodo: la protección está activa hoy en los tres repositorios, luego «siempre lo estuvo». Eso es inexacto y, además, el historial que la propia empresa entregó lo desmiente. Otra tentación peor es tocar las fechas, que convierte un hallazgo en un problema de integridad.

La presentación que se sostiene es la que muestra la foto y el historial juntos y dice con claridad desde cuándo opera el control.

El criterio A4 pide escaneo de secretos y de dependencias en los repositorios del alcance. Un panel con sus colores en verde puede esconder que uno de los repositorios no está dentro. La cobertura se lee por repositorio, con la fecha desde la que cada tipo de escaneo está activo, y se busca la celda que no tiene fecha.

Una cobertura parcial no es un fallo del escaneo, sino de lo que se puso bajo el escaneo.

Una evidencia vale por su origen: quién la generó, cuándo, con qué consulta y desde qué sistema. Una captura de pantalla sin fecha, sin autor y pegada en un documento de preparación no tiene ninguna de las cuatro cosas, y la auditora no puede distinguirla de otra hecha ayer o retocada hoy. Aunque diga lo mismo que una exportación buena, no aporta nada que la exportación no aporte y sí añade una duda.

Lo sensato es reemplazarla por la versión fiable y decir cuál queda sin efecto.