Evidencias e informes

Decir que es seguro no basta; debe demostrarlo. Las evidencias y los informes demuestran a auditores, clientes y organismos reguladores que los controles existen y funcionan como se afirma.

En una auditoría, un control sin documentación equivale prácticamente a un control inexistente.

Una evidencia es cualquier elemento que demuestre objetivamente que un control funciona:

• Exportaciones de configuración y ajustes del sistema.
• Registros y aprobaciones de revisiones de acceso.
• Registros (de inicio de sesión, cambios y auditoría).
• Capturas de pantalla con marcas de tiempo.
• Tickets, políticas y actas de reuniones.

Las evidencias sólidas comparten estas características:

• Relevantes para el control que se está evaluando.
• Suficientes en cantidad (cubren el periodo).
• Fiables y a prueba de manipulaciones (las generadas por el sistema son mejores que las afirmaciones personales).
• Oportunas, dentro del periodo de auditoría.

Las distintas auditorías exigen diferentes niveles de profundidad en las evidencias:

• En un momento concreto (SOC 2 Type I): el control existe hoy.
• Durante un periodo (SOC 2 Type II): el control funcionó durante meses, por lo que necesita evidencias recurrentes, como revisiones mensuales de acceso.

Para las evidencias de incidentes y análisis forense, mantenga una cadena de custodia: un registro documentado de quién recopiló, manipuló y almacenó cada elemento. Una custodia interrumpida puede hacer que las evidencias sean inadmisibles o poco fiables.

Los auditores rara vez revisan todos los registros. Toman una muestra representativa. Su tarea consiste en poner a disposición datos completos de la población para que la muestra sea válida (por ejemplo, una lista completa de las nuevas contrataciones al probar los controles de incorporación).

Las capturas de pantalla manuales no son escalables. Las herramientas de automatización del cumplimiento extraen evidencias continuamente de los sistemas en la nube y de identidad, las mantienen actualizadas y reducen la presión durante las auditorías.

Un buen informe se comunica con claridad tanto a lectores técnicos como directivos:

• Resumen ejecutivo: postura general y riesgos principales.
• Alcance y metodología.
• Hallazgos con su gravedad y las evidencias correspondientes.
• Recomendaciones y estado de las medidas correctivas.

Adapte el mensaje a la audiencia. Los directivos necesitan conocer el riesgo y el impacto empresarial; los ingenieros necesitan detalles y pasos para reproducir el problema. Evite la jerga en los resúmenes y la imprecisión en los detalles técnicos.

Conserve las evidencias durante el tiempo que exijan el marco y su política, normalmente un año o más. Almacénelas de forma segura con controles de acceso, porque las propias evidencias pueden contener configuraciones sensibles y datos personales.

El informe es un punto de partida, no el final. Incorpore los hallazgos al registro de medidas correctivas, solucione las causas raíz y aplique las lecciones en el siguiente ciclo. Los programas maduros muestran una tendencia descendente en los hallazgos repetidos con el tiempo.

Evalúe la solidez de las evidencias.

Las evidencias y los informes demuestran el cumplimiento:

• Recopile evidencias relevantes, suficientes, fiables y oportunas.
• Adapte la profundidad a las auditorías de un momento concreto o de un periodo.
• Mantenga la cadena de custodia y garantice un muestreo válido.
• Redacte informes claros e incorpore los hallazgos a las medidas correctivas.