Qué muestra una buena evidencia
Una evidencia demuestra que una medida no solo se ha decidido, sino que se aplica. Una política sola rara vez basta para ello. Muestra lo que debe regir. El auditor quiere ver además que se hizo así: el documento firmado, la captura de pantalla de una configuración, el acta de una formación, el extracto del sistema de tickets, el acta de revisión con fecha y responsable.
Las buenas evidencias comparten algunas características. Están fechadas, para que quede claro cuándo existía esa situación. Permiten ver quién era el responsable. Y encajan con la afirmación que deben respaldar. Si su respuesta en la evaluación describe una revisión de accesos trimestral, el auditor espera varias actas, no una.
Preste atención también a la extensión. Una exportación con cientos de entradas es difícil de revisar. Es mejor un extracto que muestre la parte relevante, con una breve explicación de cómo se obtuvo. En Sightadel, esa explicación se añade como descripción directamente en la evidencia. Los datos personales que no sean necesarios para la prueba, táchelos antes de subirla.
Orden en la biblioteca: tipo, responsable y validez
Una biblioteca solo sigue siendo útil si cada evidencia se describe correctamente al subirla. Asigne un tipo, una persona responsable y una fecha de validez. El tipo ayuda a filtrar, el responsable aclara quién actúa al caducar y la fecha activa el recordatorio.
La fecha de validez depende del ritmo de la medida. Han demostrado su eficacia las revisiones anuales de políticas, formaciones, simulacros de emergencia y evaluaciones de proveedores, las revisiones de accesos trimestrales y las auditorías internas repartidas cada año por todo el alcance. Fije la fecha algo antes de la fecha real para tener tiempo de preparación.
El estado muestra en qué puede confiar. Las evidencias nuevas están en revisión hasta que alguien confirma su contenido. Solo entonces quedan verificadas. Las evidencias caducadas siguen visibles para que la carencia no desaparezca.
Si una evidencia caduca, suba una nueva versión en lugar de crear una entrada nueva. Así se conservan todos los vínculos con controles y planes de acción, y el historial muestra la evolución a lo largo de los años.
Acreditar una vez, usar muchas
Muchos frameworks exigen cosas parecidas. Una política de seguridad de la información, un plan de formación, un plan de emergencia o una evaluación de proveedores aparecen de distintas formas en ISO 27001, NIS2, DORA, BSI C5 y SOC 2. Quien archiva una copia propia para cada framework acaba manteniendo varias versiones que divergen.
En Sightadel vincula una evidencia a todos los controles que acredita, también entre frameworks. Se modifica en un único lugar. Si se añade otro framework, repasa las evidencias existentes y las vuelve a vincular en lugar de empezar de cero.
Compruebe con atención si la evidencia cubre realmente cada requisito. Requisitos parecidos no siempre son iguales. Un plan de emergencia suficiente para ISO 27001 puede resultar demasiado general para DORA, porque allí hay expectativas más amplias sobre pruebas y escenarios. En ese caso, complete el plan o vincule otra prueba.
La cobertura que aparece encima del archivo muestra qué parte de los requisitos activos ya está respaldada y dónde faltan evidencias. Es la forma más rápida de encontrar carencias antes de una auditoría.
Qué hace el auditor con sus evidencias
En la primera fase de la auditoría, el auditor examina sobre todo la documentación. En la segunda toma muestras. Elige un control, lee su respuesta y quiere ver la prueba. Si la prueba encaja, sigue adelante. Si no encaja, pregunta, y una pregunta puede convertirse en un hallazgo.
Motivos típicos de hallazgos son evidencias caducadas, falta de fechas, pruebas que no encajan con la afirmación y huecos en el periodo. Quien describe una comprobación mensual de las copias de seguridad pero solo presenta actas de dos meses tiene un problema, aunque las comprobaciones se hayan hecho realmente.
En Sightadel, el auditor tiene su propio rol: ve las evidencias con versión, estado, validez y vínculos, y las comenta. Solo crea o edita entradas tras su aprobación y nunca puede eliminar nada. Eso evita exportar estructuras de carpetas y enviar archivos grandes. Al mismo tiempo, el historial de actividad muestra cuándo se subió una evidencia. Las pruebas creadas la víspera de la auditoría se notan tanto como los registros que han ido creciendo a lo largo del año.
