El inventario debe mantenerse
Los datos personales cambian de sistema, aparecen nuevas integraciones y se incorporan proveedores. Un levantamiento que no tiene responsable ni rutina de actualización pierde valor rápidamente.
Los accesos deben corresponder al trabajo real
Las matrices ayudan a detectar privilegios heredados, cuentas sin uso y responsabilidades poco claras. El control técnico debe poder demostrarse.
Los proveedores también forman parte del flujo
Cloud, soporte, comunicaciones, software y respaldos pueden procesar información. La revisión necesita considerar propósito, acceso, transferencia y evidencia contractual.
Los incidentes requieren un proceso practicable
Detectar, contener, evaluar impacto, escalar y conservar evidencia no puede improvisarse cuando el evento ya ocurrió.
La evidencia no se prepara para una auditoría: se genera como consecuencia de operar correctamente.
Tres fases sostenibles
- Assessment: inventario, brechas, riesgos y roadmap.
- Implementación: políticas, accesos, retención, incidentes y proveedores.
- Servicio recurrente: seguimiento, evidencias y mejora continua.