Preparación para la Auditoría de Cumplimiento: Cuenta Regresiva de 90 Días
Días 90–60: Evaluación y Definición del Alcance
Semana 1: Revise los requisitos de su marco de trabajo e identifique las carencias de evidencia. Semana 2: Defina el alcance de su "Penetration Testing" para que coincida con su perímetro de cumplimiento (descripción del sistema para SOC 2, CDE para PCI DSS, alcance del ISMS para ISO 27001). Semana 3: Contrate a su proveedor de pruebas y programe el compromiso. Semana 4: Prepare el entorno de pruebas, cree cuentas de prueba y notifique a los equipos pertinentes. Comience a recopilar evidencia que no sea de prueba ("policies", procedimientos, revisiones de acceso).
Días 60–30: Pruebas y Remediación
Semanas 5–6: Se ejecutan las pruebas de "Penetration Testing" y el escaneo de vulnerabilidades. Los hallazgos aparecen en tiempo real si utiliza una plataforma TaaS como Penetrify. Comience la remediación de los hallazgos críticos y de alta prioridad de inmediato. Semanas 7–8: Complete la remediación de todos los hallazgos críticos y de alta prioridad. Solicite volver a probar las correcciones completadas. Compile la evidencia de la nueva prueba que confirme la remediación.
Días 30–0: Documentación y Revisión
Semanas 9–10: Finalice el informe de cumplimiento con la metodología, los hallazgos, la remediación y la evidencia de la nueva prueba. Verifique que todas las asignaciones de control del marco de trabajo estén completas. Semanas 11–12: Realice una revisión interna de toda la evidencia. Verifique que las fechas del "pentest" se encuentren dentro del período de auditoría. Confirme que la alineación del alcance coincida con el perímetro del marco de trabajo. Prepárese para las preguntas del auditor sobre los hallazgos y la remediación.
Por Qué Fallan las Auditorías
Comenzar el "pentesting" demasiado tarde (sin tiempo para la remediación antes de la auditoría). Alcance del "pentest" desalineado con el perímetro de cumplimiento. Falta de evidencia de la nueva prueba para los hallazgos remediados. Evidencia con fecha fuera del período de auditoría. Informes genéricos sin asignación de control específica del marco de trabajo.
En Resumen
La preparación de la auditoría es un proyecto de 90 días, no una tarea de 90 minutos. Comience con anticipación, alinee el alcance de su "pentest" con su perímetro de cumplimiento y trabaje con un proveedor, como Penetrify, que produzca informes listos para el cumplimiento con pruebas repetidas integradas para que no tenga que buscar evidencia en las últimas semanas.