Mapeo del hallazgo al control

Una comprobación se mapea a uno o varios controles, y un control se apoya en varias comprobaciones: la relación es de varios a varios. Eso significa que contar fallos por comprobación y contar fallos por control dan listas distintas, y que conviene decir cuál se está usando.

Además, la comprobación mide la parte técnica de un control: un ajuste de la configuración. El control también exige procesos, responsables y evidencia que ningún escáner ve. Por eso un FAIL es una evidencia en contra de una parte del control, no el veredicto sobre el control entero.

Abre mapeo-comprobaciones.csv. Es el catálogo interno de Casa Tintorera: para cada comprobación del escáner, el control de ISO/IEC 27002:2022 y la categoría de NIST CSF 2.0 en que se apoya. Aprender a leerlo vale más que memorizar números de control: se lee la fila de la comprobación y se sigue hasta el marco.

Ahora cruza hallazgos-fail.csv con el mapeo: a cada hallazgo, el control de su comprobación. Cuenta cuántos fallos cae en cada control de ISO y fíjate en uno que reúne varias comprobaciones distintas: el recuento por control suma lo que el recuento por comprobación reparte.

El mapeo también sirve al revés. Si un control interno no tiene ninguna comprobación mapeada, el informe no puede decir nada sobre él: no es que esté bien, es que no se mira. Cruza controles-internos.csv con la columna de ISO del mapeo y busca el control que ninguna comprobación toca.

La auditora interna recibe un borrador que dice que la empresa cumple casi el 83 % de los controles, calculado porque la mayoría de comprobaciones salieron en PASS. Lee nota-del-auditor.txt y piensa qué mide ese número y qué no.