Sala 1 · alcance regulado y evidencia

El alcance regulado no se decide por el nombre de un sistema ni por lo que alguien incluyó en una lista: se decide por el dato que toca y por a qué está conectado. Para contarlo se aplica cada regla de alcance a cada sistema, una por una, y se suman los que entran por cualquiera de ellas sin contar dos veces el mismo.

Un inventario regulado es una promesa al supervisor: lo que figura en él se controla. El riesgo está en lo que cumple la definición de alcance y no figura, porque nadie lo vigila con el rigor que merece.

Un sistema puede no guardar un solo dato regulado y aun así formar parte del alcance, porque una conexión sin segmentar lo deja a un paso de uno que sí lo guarda. La pregunta no es qué contiene sino con quién habla y si hay una barrera entre los dos.

La carpeta de evidencias parece llena y no lo está. Cada sistema del alcance necesita evidencia de cada control, y una evidencia vale solo si cumple las condiciones que la regla fija para ser vigente. Lo reunido para sistemas fuera del alcance no cubre a nadie, y dos piezas para el mismo sistema y el mismo control cubren un solo hueco. La cifra que importa es cuántos huecos quedan abiertos.

Conservar un dato más tiempo del permitido es un incumplimiento aunque nadie lo haya tocado. Cada clase de dato tiene su máximo; un valor igual al máximo cumple y uno que lo supera no. Se compara el valor de cada sistema con el de su clase.