Evidencia para una evaluación

El requisito 12.5.2 de la versión 4.0.1 pide documentar y confirmar el alcance al menos cada doce meses y cuando hay un cambio significativo en el entorno. Eso incluye los diagramas de red y de flujos de datos de tarjeta, el inventario de sistemas en alcance, los terceros con acceso y la justificación de lo que queda fuera.

Cada artefacto se entrega con fecha, con responsable y con una vigencia clara, para que un evaluador pueda comprobar que está al día.

El diagrama de flujos de tarjeta y el inventario describen lo mismo desde dos lados, y tienen que contarse igual. Un sistema que aparece enviando datos a la base de tarjetas en el diagrama y no está en el inventario es un hueco: o el diagrama está mal, o hay un sistema sin gobierno que alimenta el CDE.

Cruza los orígenes del diagrama con el inventario en alcance.

Cada fila del índice lleva una fecha hasta la cual se considera vigente. Un artefacto vencido en la fecha de la revisión se rehace antes de entregarlo, o el evaluador lo rechazará aunque su contenido siga siendo correcto: no hay forma de saber que lo es. Se cuentan las filas cuya vigencia ya terminó.

Una evidencia sin responsable no se mantiene: nadie la actualiza cuando cambia el entorno ni responde al evaluador cuando pregunta de dónde sale. Un paquete bien armado tiene una persona o un rol por cada artefacto. La lista de terceros con acceso es de las que más se desactualiza, porque cambia con cada contrato.