Què lliurem quan el seu client o la seva asseguradora li demanen proves
L'informe de la revisió diu com està el seu entorn. L'expedient n'és l'altra meitat: la prova de cada control, amb la seva data i el seu origen, en el format en què la demana un client, una asseguradora o una auditoria.
Va dins de la revisió en forma de taula —el que li demanaran davant del que té— i el mantenim al dia amb la gestió mensual: una prova de fa vuit mesos ja no reflecteix l'estat actual.
Com treballem i qui respon de la feina
Kwadrant signa la proposta i respon de la feina. Si en un encàrrec hi intervé una altra empresa, li ho diem abans i figura a l'encàrrec de tractament.
Proposta i encàrrec de tractament
Abast, exclusions, termini i pressupost per escrit, abans de veure cap dada.
Accés amb data de fi
El mètode i la llista exacta de permisos, a la proposta. Vostè el pot retirar en qualsevol moment.
Extracció
Pels portals de Microsoft i amb les seves exportacions. Anotem d'on surt cada dada i quan.
Anàlisi i expedient
Cada control amb el seu estat, la seva prova i el que la prova no demostra.
Lliurament
L'informe i l'expedient, i una reunió per explicar-los. Després, l'accés es retira.
Les cinc parts de l'expedient
- 1 · Portada
- Client, període observat, data d'extracció, fonts i exclusions. Una prova sense data no acredita un estat.
- 2 · Matriu
- Cada control, amb el seu estat i l'enllaç a la prova que el sosté.
- 3 · Annexos tècnics
- Les exportacions dels portals, amb la seva data. Permeten que un tercer refaci la comprovació.
- 4 · Annexos documentals
- El que aporta el client i no surt de cap sistema, més la llista de proves que falten.
- 5 · Pla d'accions
- Prioritzat, amb responsable i data de revisió.
Cada control, amb la seva prova i el seu límit
L'última columna indica fins on arriba cada prova i quan un control queda pendent encara que la configuració sigui correcta.
| Control | Evidència | Origen | Què no demostra |
|---|---|---|---|
| Gestió d'incidents | Pla vigent, responsables, registre de l'últim simulacre i incidents rellevants. | Manual + portal | Un llistat d'incidents no prova que hi hagi un pla. Sense pla i responsables queda pendent. |
| Formació anual | Programa, assistents, pendents i data de la campanya. | Manual | Cap portal no acredita la formació. Calculem la cobertura sobre la plantilla activa, altes recents incloses. |
| Aplicació de pegats | Política, inventari, últim informe de vulnerabilitats i excepcions amb responsable. | Mixta | No cobreix servidors, xarxa, programari no gestionat ni maquinària o sistemes de planta, llevat que estiguin inventariats i la font ho demostri. |
| Revisió d'eficàcia | Informe de revisió, pla d'accions i estat de tancament. El Secure Score com a indicador auxiliar. | Mixta | El Secure Score no és una auditoria. Sense revisió signada i seguiment, queda pendent. |
| Criptografia | Configuració de xifratge i etiquetes, i descripció dels fluxos amb dades del client. | Mixta | Depèn de la llicència. No cobreix aplicacions externes, USB, còpies ni serveis de tercers. |
| Xifratge de dispositius | Inventari amb l'estat de xifratge i compliment, i prova de xifratge de les còpies. | Mixta | Només acredita els dispositius inscrits a l'Intune. |
| Seguretat física | Política d'accés, ubicacions i declaració del proveïdor d'allotjament quan escaigui. | Manual | Fora del Microsoft 365. Excloem les instal·lacions de tercers que no aportin les seves pròpies evidències. |
| Doble factor | Registre de MFA per usuari, polítiques d'accés condicional, exclusions i comptes privilegiats. | Portal | Tenir el MFA registrat no demostra que s'exigeixi en tots els accessos. Revisem la política, les exclusions i els comptes d'emergència. |
| Subcontractistes | Inventari de subcontractistes amb accés, clàusula aplicable i registre d'acceptació. | Manual | No revisem contractes ni en valorem la validesa jurídica. |
Portal és una exportació d'un portal de Microsoft, amb la seva data i la seva ruta, que no canvia res de la seva configuració i que qualsevol tècnic amb els mateixos permisos pot repetir. Manual l'aporta el client i queda identificat com a tal. Mixta necessita totes dues: si falta la documental, no donem el control per tancat.
El que l'expedient no demostra
Una exportació de Microsoft acredita la configuració o l'estat observat en una data. No demostra per si sola que un control sigui eficaç, ni cobreix res que visqui fora del Microsoft 365.
- L'expedient caduca tan bon punt algú canvia alguna cosa.
- Un control ben configurat pot quedar pendent si el que s'exigeix és un pla signat o una revisió amb seguiment.
- La capacitat de resposta només es prova en un incident o un simulacre.
Els permisos que demanem: cap no permet canviar la seva configuració. El detall, a seguretat.