Informes de cumplimiento
Reporte sobre las áreas de control que la plataforma puede evidenciar, para el período y el alcance de activos de su auditoría.
Qué es un informe de cumplimiento#
Un informe de cumplimiento convierte los datos de la plataforma en evidencia para un área de control. Responde a la pregunta del auditor - "muéstreme que esto está gestionado" - con un registro en lugar de una descripción.
Los informes son tan buenos como su alcance y período. Un informe correcto con el alcance equivocado es peor que ningún informe, porque crea un registro falso.
Marcos y controles#
Nueve regulaciones tienen un informe control por control. Cada informe evalúa los artículos de la regulación con evidencia en vivo de la plataforma y marca como revisión manual los elementos que la plataforma no puede medir.
| Marco | Jurisdicción | Controles |
|---|---|---|
| KVKK | Turquía | 13 |
| GDPR | Unión Europea | 13 |
| ISO/IEC 27001:2022 | Internacional | 18 |
| HIPAA Security Rule | Estados Unidos | 14 |
| PCI DSS v4.0 | Internacional | 18 |
| SOC 2 | Internacional | 12 |
| NIST CSF 2.0 | Estados Unidos | 22 |
| CIS Controls v8.1 | Internacional | 18 |
| ISO/IEC 42001:2023 | Internacional | 9 |
Los mismos informes también se organizan en torno a seis áreas de control. Asígnelas al marco contra el que será auditado:
| Área de control | Qué evidencia |
|---|---|
| Control de activos | Cada endpoint gestionado está inventariado, por lo que el alcance de activos de la auditoría está definido. |
| Control de configuración | Los perfiles de agente y las políticas describen el estado requerido de cada clase de dispositivo. |
| Control de acceso | Las cuentas locales, los derechos administrativos y el acceso SaaS se reportan por activo y por usuario. |
| Control de datos | Las reglas de clasificación, las políticas DLP y los hallazgos DSPM describen cómo se gobiernan los datos sensibles. |
| Control de cambios | Los cambios de política, los scripts y las automatizaciones se registran junto con el operador que los realizó. |
| Control de registro | Las acciones del panel se escriben en el registro de auditoría; de este modo, la actividad administrativa es rastreable. |
Generación de informes#
- 1Seleccionar el marco
Seleccione el marco o regulación contra la que está reportando; así el informe se estructurará en torno a sus áreas de control.
- 2Establecer el período
Los períodos de auditoría tienen un inicio y un fin. Genere el informe exactamente para ese período para poder compararlo con el anterior.
- 3Establecer el alcance de activos
Reporte sobre los endpoints incluidos en el alcance de la auditoría. Un endpoint fuera de alcance incluido por accidente debilita todo el informe.
- 4Revisar antes de compartir
Lea el informe y verifique los vacíos. Un control sin evidencia es el hallazgo que el auditor preguntará primero.
- 5Almacenar el resultado
Guarde el informe generado junto con su alcance y período; así una auditoría posterior podrá responderse a partir del mismo registro.
Gestión de evidencias#
- Cada informe porta su período y alcance; guárdelos juntos, porque el informe no puede interpretarse sin ellos.
- Mantenga una cadena continua. Un vacío en el historial de informes es en sí mismo un hallazgo de auditoría.
- Guarde la evidencia exportada fuera de la ventana de retención que debe sobrevivir.
- Compare períodos consecutivos. Un control que estuvo evidenciado en el período anterior y no lo está en este es lo más útil que puede mostrar un informe de cumplimiento.