Seguridad desde la arquitectura hasta la evidencia.

Documento suscrito por la persona competente que identifique el servicio, las categorías de información, la causa y fecha de supresión, el alcance y las excepciones justificadas.

Evidencia asociada: autorización, registro de ejecución y verificación; tratamiento de copias, exportaciones y réplicas cuando existan; fecha de expiración de las copias retenidas y cierre documentado.

Verificación y cierre: El criterio de aceptación debe relacionar el universo de datos autorizado para supresión con el resultado obtenido, incluyendo identificadores de referencia, conjuntos afectados y dependencias residuales. La comprobación puede apoyarse en consultas de contraste, recuentos conciliados y revisión de ubicaciones derivadas, documentando el método y sus limitaciones. Las exclusiones deben permanecer individualizadas, con fundamento, responsable y condición de revisión, de modo que el cierre permita reconstruir qué se eliminó, qué se conserva y por qué.

Para ISO/IEC 27001 o ENS, la evaluación debe comprobar la entidad titular, el alcance exacto, la vigencia y su correspondencia con el servicio. Para SOC 2 Type II, el informe y el periodo de observación resultan esenciales.

Alcance público: esta página no acredita certificaciones ISO/IEC 27001, conformidad ENS ni un informe SOC 2 de Serboweb. Una certificación de una tecnología o de un tercero no se extiende automáticamente al CRM.

Verificación y cierre: La revisión debe comprobar la autenticidad de la evidencia, su correspondencia con la entidad evaluada y la relación entre actividades certificadas, sistemas incluidos y prestaciones contratadas. Las exclusiones, dependencias y condiciones de uso del informe deben incorporarse al análisis de aplicabilidad. Cuando existan observaciones o actuaciones pendientes, debe determinarse su repercusión sobre el servicio concreto. El expediente de evaluación debe conservar la referencia documental y el razonamiento que justifica aceptar, limitar o descartar esa evidencia.

Identificación de las auditorías realizadas en los doce meses del periodo solicitado, con fecha, equipo evaluador, independencia, activos incluidos, metodología y limitaciones.

Evidencia asociada: informe, hallazgos, severidad, responsables de remediación, medidas correctivas y comprobación de cierre. Un cuestionario cumplimentado no demuestra por sí solo la ejecución de una auditoría.

Verificación y cierre: La utilidad del informe depende de poder relacionar cada conclusión con el objetivo de control, la población examinada, la muestra seleccionada y el procedimiento de comprobación. Deben identificarse las restricciones de acceso, las fuentes no disponibles y los cambios posteriores que puedan afectar a la validez de los resultados. El seguimiento debe distinguir entre corrección declarada, implementación comprobada y eficacia verificada, manteniendo referencia a las pruebas que sustentan cada cambio de estado del hallazgo.

Procedimiento con criterios de detección y declaración, responsables, clasificación de severidad, contención, preservación de evidencias, erradicación, recuperación y revisión posterior.

Notificación: destinatarios, canales, responsables de decisión y plazos legales o contractuales aplicables al rol y al incidente. La evaluación debe diferenciar una alerta técnica, un incidente y una brecha de datos personales.

Verificación y cierre: El procedimiento debe especificar quién puede declarar un incidente, autorizar actuaciones de contención y aprobar comunicaciones cuando exista información incompleta o indisponibilidad de los responsables habituales. Conviene definir mecanismos alternativos de coordinación y criterios para actualizar una clasificación inicial conforme aparezcan nuevas evidencias. Los ejercicios de simulación deben comprobar la localización de contactos, la ejecución de escalados y la calidad de las decisiones, conservando las desviaciones detectadas y las medidas acordadas para corregirlas.

Cuando exista un incidente dentro del alcance solicitado: identificador, cronología, activos y datos afectados, causa raíz, indicadores, medidas adoptadas, comunicaciones y riesgo residual.

Integridad y acceso: evidencias referenciadas, cadena de custodia cuando corresponda y versión autorizada para el destinatario. Una declaración de ausencia de incidentes requiere revisar el registro y concretar periodo y alcance.

Verificación y cierre: El informe debe separar hechos observados, hipótesis de investigación y conclusiones, indicando qué evidencias sostienen cada afirmación y qué incertidumbres permanecen abiertas. Las revisiones sucesivas deben conservar la evolución del alcance, las decisiones adoptadas y sus motivos, especialmente cuando cambie la estimación de afectación. El cierre exige identificar las condiciones verificadas para restablecer la operación y las acciones aún pendientes, con una asignación explícita de responsabilidad sobre el seguimiento del riesgo residual.

Programa formativo adecuado a las responsabilidades de administración, desarrollo, soporte y tratamiento de información. Contenido, fechas, destinatarios y criterio de evaluación.

Evidencia asociada: registros de participación, capturas de plataforma, resultados de evaluación y seguimiento de necesidades detectadas, con los datos personales limitados al alcance de la revisión.

Verificación y cierre: La evaluación debe identificar la población a la que resulta aplicable cada actividad y comparar participación, finalización y resultados con ese universo. La asistencia requiere complementarse con ejercicios que permitan valorar la aplicación del conocimiento a situaciones propias de cada función. Las carencias detectadas deben generar actuaciones de refuerzo y una comprobación posterior. El registro debe permitir justificar exenciones, incorporaciones recientes o cambios de responsabilidad, conservando únicamente la información personal necesaria para acreditar el seguimiento.

Matriz que relacione categorías de información, activos, ubicación de producción y copias, finalidad, responsables, accesos, destinatarios, plazos de conservación y mecanismo de actualización.

Dimensión jurídica: rol de cada parte, instrucciones de tratamiento, fundamento jurídico que corresponda al responsable y condiciones aplicables a transferencias, si existen. La geografía y los plazos concretos deben validarse para cada servicio.

Verificación y cierre: El inventario debe representar también las relaciones entre información principal y conjuntos derivados: exportaciones, adjuntos, registros, áreas temporales, cachés o colas, cuando existan. Cada transformación o transferencia relevante debe permitir identificar origen, destino y finalidad operativa. La actualización del mapa debe vincularse a cambios de arquitectura, integraciones y procedimientos, con control de versiones y responsable de validación. Esta trazabilidad facilita analizar el impacto de una solicitud de derechos, un incidente o una modificación de conservación.

Secuencia autorizada de cierre: inventario, exportación acordada, entrega con comprobación de integridad y recepción, revocación de accesos y tratamiento de los datos residuales.

Soportes físicos: identificación y custodia del soporte, responsable con capacidad de actuación, método de saneamiento adecuado al medio y verificación documentada. El borrado lógico de un fichero y el saneamiento de un soporte son actuaciones diferentes.

Verificación y cierre: La aceptación de la entrega debe comprobar la legibilidad del formato, la integridad del conjunto exportado y la correspondencia entre datos, documentos y relaciones necesarias para su interpretación. El acta de cierre debe diferenciar entrega completada, accesos revocados, elementos pendientes y conservación excepcional. Cuando intervengan soportes físicos, la cadena documental debe conectar la identificación del activo con su traslado, custodia, actuación de saneamiento y destino final, incluyendo las verificaciones realizadas y las limitaciones del método aplicado.

Planes versionados con análisis de impacto, dependencias, escenarios, criterios de activación, responsabilidades, comunicaciones y procedimientos de recuperación y retorno al servicio.

Evidencia asociada: objetivos RPO/RTO aprobados, ejercicio ejecutado, tiempos medidos, integridad del conjunto recuperado, validación funcional y acciones derivadas. Los valores comprometidos deben figurar expresamente en el alcance acordado.

Verificación y cierre: Los ejercicios deben considerar fallos que afecten simultáneamente a dependencias compartidas, como administración, identidad, comunicaciones o acceso al repositorio de recuperación. La secuencia de restablecimiento debe justificar sus prioridades y comprobar la disponibilidad de configuraciones, claves y conocimiento operativo. El resultado debe compararse con criterios de aceptación definidos antes del ejercicio, diferenciando recuperación técnica, validación de datos y reanudación del proceso de negocio. Las desviaciones requieren responsables y una nueva comprobación cuando comprometan el objetivo acordado.

Informe de pruebas autorizado con activos y superficies incluidos, fecha, metodología, condiciones de ejecución, limitaciones, evidencias reproducibles y clasificación del impacto.

Cierre técnico: plan de remediación, responsables y verificación posterior de los hallazgos. Un escaneo automatizado de vulnerabilidades debe identificarse como tal y distinguirse de una prueba de intrusión.

Verificación y cierre: La cobertura debe expresarse mediante una matriz que relacione superficies, perfiles, objetos de negocio y escenarios examinados, incluyendo las restricciones impuestas a la prueba. En una aplicación con distintos usuarios o clientes, resulta relevante comprobar operaciones autorizadas y rechazadas bajo identidades y contextos diferentes. La ausencia de hallazgos debe interpretarse dentro del alcance y profundidad ejecutados. La nueva comprobación de una corrección debe incluir posibles efectos sobre funciones relacionadas y conservar evidencia suficiente para reproducir la conclusión.

Metodología con inventario de activos y dependencias, amenazas, vulnerabilidades, controles existentes, escalas de probabilidad e impacto y criterios de aceptación.

Evidencia asociada: registro de riesgos, decisiones de tratamiento, propietario, fechas objetivo, valoración residual y aprobación. La revisión debe activarse ante cambios materiales del servicio o incidentes relevantes.

Verificación y cierre: Las valoraciones deben explicitar sus supuestos, fuentes de información y nivel de incertidumbre, evitando que una puntuación aparente precisión que el análisis no puede sostener. Conviene examinar dependencias compartidas y escenarios encadenados que puedan incrementar el impacto conjunto. Las decisiones de aceptación deben establecer condiciones de vigencia, responsable y desencadenantes de revisión. El seguimiento debe comprobar tanto la implantación del tratamiento como la permanencia de las circunstancias que justificaron la valoración residual y la decisión adoptada.

Capturas o exportaciones con fecha, activo identificable para el revisor, política aplicada, cobertura y eventos de prueba. Deben permitir distinguir entre disponibilidad de una función, detección de un evento y ejecución efectiva de la respuesta.

Alcance: el filtrado de red, la inspección de peticiones web y la detección y respuesta sobre procesos tienen superficies distintas. Una afirmación de cobertura requiere relacionar función habilitada, modo de operación, activos protegidos y resultado verificable.

Verificación y cierre: La evidencia debe permitir reproducir la relación entre una política y su resultado sobre un flujo concreto, incluyendo fecha de captura, contexto de ejecución y evento generado. Una muestra útil debe contrastar tráfico permitido y actividad que deba restringirse, según el alcance autorizado de la prueba. La ocultación de datos sensibles debe preservar los atributos necesarios para evaluar cobertura y estado operativo. Las excepciones y exclusiones requieren identificación suficiente para comprender cómo modifican la protección efectiva.

Política por tipo de cuenta que concrete longitud, bloqueo de contraseñas comprometidas, almacenamiento seguro, recuperación de acceso, gestión de secretos y revocación ante compromiso o baja.

Verificación: distinguir usuarios del CRM, panel, sistema y cuentas de servicio; contrastar autenticación multifactor donde esté implantada, limitación de intentos, autorizaciones y trazabilidad. Las longitudes y parámetros efectivos se acreditan mediante configuración.

Verificación y cierre: La revisión debe conciliar el inventario de identidades con las personas, funciones o procesos que justifican su existencia, incluyendo cuentas privilegiadas, técnicas, inactivas y de emergencia. Los cambios de responsabilidad y las bajas deben poder relacionarse con la modificación o revocación de permisos. Para las credenciales no humanas, conviene documentar propietario, dependencias y procedimiento de sustitución. La evidencia debe acreditar la aplicación de la política mediante resultados y configuraciones, evitando incorporar secretos a informes, capturas o exportaciones.

Política del servicio: copias incrementales, conservación durante una semana y almacenamiento externo al servidor de producción.

La evidencia debe concretar el alcance del respaldo, periodicidad, destino, permisos, protección criptográfica cuando corresponda, supervisión de trabajos y tratamiento de fallos. Las pruebas de restauración deben comprobar la cadena incremental y la consistencia del conjunto de datos y ficheros recuperado.

Precisión técnica: la protección por contraseña debe analizarse para determinar si cubre el conjunto de la copia o determinados elementos sensibles. El cifrado integral, la independencia del repositorio y la inmutabilidad requieren evidencia específica.

Verificación y cierre: La revisión de una cadena incremental debe identificar su base, los incrementos necesarios y los puntos de recuperación que pueden reconstruirse con los elementos disponibles. Los registros de ejecución deben permitir detectar interrupciones, resultados parciales y diferencias entre trabajo finalizado y copia utilizable. La política de expiración debe examinarse junto con esas dependencias. La aceptación de una restauración debe conservar el punto recuperado, las comprobaciones de integridad y consistencia, las incidencias encontradas y el resultado funcional obtenido.