Informe de cumplimiento contra un estándar

Un informe de cumplimiento toma un estándar de configuración (un benchmark público o uno interno) y reporta, control por control, cuántos recursos pasan y cuántos fallan. La puntuación global resume todo en un número, y por eso es lo primero que miran en dirección.

El problema es que el número pesa todos los controles igual. Cien recursos con una etiqueta mal puesta y diez con el acceso público abierto no se compensan: la puntuación sube con lo fácil y baja poco con lo grave. Un informe útil se lee por severidad primero y por puntuación después.

Antes de citar un porcentaje conviene saber cómo se calcula. El estándar interno de Mutis lo define en un archivo de metodología: qué controles entran, qué hacen las excepciones, qué pasa con un control sin recursos. Con esos datos se puede rehacer la cuenta y comprobar que el número de la herramienta es el que dice ser.

Aplica la metodología a la tabla de cumplimiento y suma todos los controles automáticos.

Un control puede aparecer en verde por dos razones muy distintas: porque todos sus recursos cumplen, o porque no tiene ninguno que evaluar. La herramienta muestra «PASA» en ambos casos. El segundo es un verde vacío, y es peligroso porque los controles críticos suelen ser justo los que dependen de que el recurso exista en el alcance del escaneo.

Mira la columna de recursos de cada control y busca el que dice pasar sin haber evaluado nada.

Una excepción declara que un recurso concreto no cumple un control y que se acepta, con un dueño y una fecha. Mientras está vigente, el recurso sale del cálculo. Cuando la fecha pasa, la excepción debe dejar de proteger al recurso: es un fallo otra vez. Si nadie revisa las fechas, las excepciones se vuelven permanentes sin que nadie lo decidiera.

La metodología fija la regla de vencimiento y el informe lleva una fecha de corte.

La excepción vencida es de mrojas, sobre un almacenamiento de registros de pruebas. Nadie la ha renovado ni ha dicho que el recurso se corrigió. En la reunión te preguntan qué hacer: el control C-07 ya muestra fallos y esa excepción los esconde sin derecho.