Evidencias de auditoría: desde la operación, no desde la hoja de cálculo

Qué evidencias esperan los auditores

• Un inventario actualizado de activos con responsables (ISO/IEC 27001, anexo A 5.9)
• Una gestión ordenada de las vulnerabilidades técnicas, con plazos (A 8.8)
• Detección, tratamiento y notificación de incidentes
• Pruebas de que las medidas son eficaces (evaluación del desempeño, capítulo 9)

Las evidencias se generan de forma continua

Cada detección, evaluación, tarea y verificación queda documentada en XMfortress con fecha y hora. De ahí salen informes con histórico: ¿cómo ha evolucionado la superficie de ataque, cuántas vulnerabilidades críticas estuvieron abiertas y durante cuánto tiempo, qué validaciones se ejecutaron y con qué resultado?

Informes para la dirección en lenguaje claro

Con NIS2, la dirección debe aprobar y supervisar las medidas. Para ello no necesita líneas de log, sino una visión de la situación: Exposure Score, tendencia, riesgos críticos abiertos y cumplimiento de plazos, de forma comprensible y comparable en el tiempo.

Para varios marcos normativos a la vez

Los mismos datos acreditan requisitos de ISO/IEC 27001, NIS2 y DORA. En lugar de tres proyectos de evidencias separados, basta con una única base de datos.