Evidencia que el auditor va a pedir

Para cada requisito, la norma describe qué hace el evaluador para comprobarlo: examinar documentación (la metodología, el alcance o declaración de trabajo de cada prueba), examinar los resultados de la prueba más reciente, examinar los controles de segmentación y entrevistar al personal responsable. Para el pentester esto tiene una consecuencia práctica: el informe, la declaración de trabajo y la evidencia de la nueva prueba son documentos que alguien más va a leer con la norma al lado.

Lo que no está escrito no existe para el evaluador. Una corrección «que se explica de palabra en la visita» se apoya solo en la entrevista, y la entrevista acompaña a la evidencia; no la reemplaza.

Abre el laboratorio, lee solicitud-del-evaluador.txt y compárala con el índice del paquete en paquete/.

La solicitud pide diagramas vigentes. La confirmación anual del alcance (requisito 12.5.2) incluye actualizar los diagramas de flujos de datos, así que un diagrama anterior a la última confirmación y que no refleja los cambios posteriores no sirve como evidencia de lo que hay hoy.

La evidencia de una prueba no puede convertirse en una copia de los datos que la norma protege. Un informe o un anexo con números de tarjeta completos amplía el alcance a donde se guarde, se envíe o se imprima, y lo pone en manos de quien no debería tenerlo. La evidencia se recorta o se enmascara antes de entregarla, y el evaluador del encargo no conserva el original.

Tu carta prohíbe abrir, copiar o conservar datos de tarjetas, y el anexo existía antes de que llegaras. Lo que recomiendes tiene que proteger los datos sin borrar la evidencia de que la prueba se hizo.