El Problema de la Evidencia
La mayoría de las organizaciones tratan la evidencia de cumplimiento como un ejercicio de recolección: reunir artefactos de múltiples fuentes en una estructura de carpetas antes de cada auditoría. Este enfoque es frágil, lento y propenso a errores. La evidencia se vuelve obsoleta, las fuentes cambian, el formato varía y la preparación previa a la auditoría consume semanas.
Recolección Continua de Evidencia
La alternativa: integrar la recolección de evidencia en sus flujos de trabajo operativos para que los artefactos se creen y organicen como un subproducto de su trabajo. Las pruebas de seguridad producen informes mapeados al cumplimiento de forma automática. Las revisiones de acceso generan evidencia en su sistema de gestión de identidades. La gestión de cambios captura registros de aprobación en su sistema de tickets. La evidencia siempre está actualizada porque siempre se está generando.
Evidencia de Penetration Testing Específicamente
Para la evidencia de pentest, necesita: documentación de la metodología, alineación del alcance con el límite de cumplimiento, hallazgos calificados por gravedad con evidencia de reproducción, acciones de remediación con plazos, evidencia de nuevas pruebas que confirmen las correcciones y el informe completo fechado dentro del período de auditoría. Los informes de Penetrify incluyen los seis elementos como entregables estándar, sin necesidad de procesamiento posterior.
Retención y Organización
Conserve la evidencia de cumplimiento durante el período que requiera su framework (normalmente de 1 a 7 años, según el framework). Organice por control del framework, no por sistema fuente. Etiquete la evidencia con el período de auditoría que respalda. Mantenga un índice de evidencia vivo que mapee cada control con sus artefactos de soporte.
En Resumen
La gestión de la evidencia no debería ser un simulacro trimestral. Cuando las plataformas de pruebas producen informes listos para el cumplimiento y los sistemas operativos generan evidencia continuamente, la preparación de su auditoría se reduce de semanas a horas.