Qué entregamos cuando su cliente o su aseguradora le piden pruebas
El informe de la revisión dice cómo está su entorno. El expediente es la otra mitad: la prueba de cada control, con su fecha y su origen, en el formato en que la pide un cliente, una aseguradora o una auditoría. Aquí está su índice, de dónde sale cada dato, qué permisos hacen falta y qué no acredita.
Va dentro de la revisión en forma de tabla —lo que le van a pedir frente a lo que tiene— y lo mantenemos al día con la gestión mensual, que es cuando tiene sentido: una prueba de hace ocho meses ya no refleja el estado actual.
Las cinco partes del expediente
- 1 · Portada
- Cliente, periodo observado, fecha de extracción, fuentes y exclusiones. Una prueba sin fecha no acredita un estado.
- 2 · Matriz
- Cada control, con su estado y enlace a la prueba que lo sostiene.
- 3 · Anexos técnicos
- Las exportaciones en bruto, con los datos personales minimizados. Permiten que un tercero rehaga la comprobación.
- 4 · Anexos documentales
- Lo que aporta el cliente y no sale de ningún sistema, más la lista de pruebas que faltan.
- 5 · Plan de acciones
- Priorizado, con responsable y fecha de revisión.
Cada control, con su prueba y su límite
La última columna indica hasta dónde llega cada prueba y cuándo un control queda en pendiente aunque la configuración sea correcta.
| Control | Evidencia | Origen | Qué no demuestra |
|---|---|---|---|
| Gestión de incidentes | Plan vigente, responsables, registro del último simulacro e incidentes relevantes. | Manual + Graph | Un listado de incidentes no prueba que exista un plan. Sin plan y responsables queda pendiente. |
| Formación anual | Programa, asistentes, pendientes y fecha de la campaña. | Manual | Graph no acredita formación. Calculamos la cobertura sobre la plantilla activa, altas recientes incluidas. |
| Parcheo | Política, inventario, último informe de vulnerabilidades y excepciones con responsable. | Mixta | No cubre servidores, red, software no gestionado ni maquinaria o sistemas de planta, salvo que estén inventariados y la fuente lo demuestre. |
| Revisión de eficacia | Informe de revisión, plan de acciones y estado de cierre. El Secure Score como indicador auxiliar. | Mixta | El Secure Score no es una auditoría. Sin revisión firmada y seguimiento, queda pendiente. |
| Criptografía | Configuración de cifrado y etiquetas, y descripción de los flujos con datos del cliente. | Mixta | Depende de la licencia. No cubre aplicaciones externas, USB, copias ni servicios de terceros. |
| Cifrado de dispositivos | Inventario con estado de cifrado y cumplimiento, y prueba de cifrado de las copias. | Mixta | Solo acredita los dispositivos inscritos en Intune. |
| Seguridad física | Política de acceso, ubicaciones y declaración del proveedor de alojamiento cuando aplique. | Manual | Fuera de Microsoft 365. Excluimos las instalaciones de terceros que no aporten sus propias evidencias. |
| Doble factor | Registro de MFA por usuario, políticas de acceso condicional, exclusiones y cuentas privilegiadas. | Graph | Tener MFA registrado no demuestra que se exija en todos los accesos. Revisamos la política, las exclusiones y las cuentas de emergencia. |
| Subcontratistas | Inventario de subcontratistas con acceso, cláusula aplicable y registro de aceptación. | Manual | No revisamos contratos ni valoramos su validez jurídica. |
Graph es una consulta que no cambia nada de su configuración, reproducible por cualquier técnico con los mismos permisos. Manual lo aporta el cliente y queda identificado como tal. Mixta necesita las dos: si falta la documental, no damos el control por cerrado.
Los permisos que pedimos: ninguno permite cambiar su configuración
Todos terminan en .Read.All: en Microsoft Graph, eso
quiere decir que solo sirven para consultar. Los activamos por
módulo y solo si existe la licencia y el caso de uso. Usted puede revisarlos y retirarlos
desde Entra ID, en Aplicaciones empresariales.
| Para demostrar | Permiso |
|---|---|
| Cobertura de MFA y registros de acceso | AuditLog.Read.All |
| Políticas de acceso condicional y exclusiones | Policy.Read.All |
| Inventario y cifrado de dispositivos (requiere Intune) | DeviceManagementManagedDevices.Read.All |
| Incidentes detectados por Defender | SecurityIncident.Read.All |
| Tendencia del Secure Score | SecurityEvents.Read.All |
Lo que el expediente no demuestra
Una exportación de Microsoft Graph acredita la configuración o el estado observado en una fecha. No demuestra por sí sola que un control sea eficaz, ni cubre nada que viva fuera de Microsoft 365.
- El expediente caduca dentro del mismo mes en que alguien cambia algo.
- Un control bien configurado puede quedar pendiente si lo exigido es un plan firmado o una revisión con seguimiento.
- La capacidad de respuesta solo se prueba en un incidente o un simulacro.
Exportamos solo las columnas necesarias, entregamos el expediente cifrado, pactamos por escrito el plazo de conservación y no reutilizamos los datos de un cliente para otro. Cómo protegemos ese acceso está en seguridad.