Todo programa de cumplimiento tiene un estante de documentos: políticas, descripciones de controles, procedimientos, cada uno describiendo cómo la organización tiene la intención de comportarse. Los documentos son necesarios. Pero no son el lugar donde el cumplimiento realmente tiene éxito o falla.
La brecha entre la política y la realidad
La política de control de acceso dice principio de mínimo privilegio. La política de cifrado dice que los datos en tránsito están protegidos. La política de retención dice que los datos personales se eliminan después de que finaliza su propósito. Estas son afirmaciones verdaderas sobre la intención.
Si son afirmaciones verdaderas sobre tu sistema depende completamente del código: la política de IAM que realmente se implementó, el mínimo de TLS que el servicio realmente hace cumplir, el trabajo de eliminación que realmente se ejecuta. La brecha entre el documento y la implementación es exactamente donde las auditorías encuentran sus hallazgos, y se abre una solicitud de extracción ordinaria a la vez.
El diff es donde el control cambia de estado
Un control no se degrada en silencio. Algo lo cambia: un rol se amplía, una configuración de cifrado se elimina, un límite de retención se retira. Cada uno de esos cambios es un diff, creado por alguien, revisado por alguien, con un momento en el que podría haberse detectado.
Si quieres gobernar un control, gobierna el momento en que cambia. El documento de política no puede hacerlo; no sabe que el diff ocurrió. La solicitud de extracción es donde el estado del control realmente se modifica, por lo que la solicitud de extracción es donde debería verificarse.
Evidencia que coincide con la realidad
Un efecto secundario de verificar los controles en el diff es que tu evidencia deja de ser una historia que ensamblas en el momento de la auditoría y comienza a ser un registro de lo que realmente sucedió: este cambio afectó este control, aquí está la cláusula, aquí está cómo se resolvió, en el hilo de la PR, con marcas de tiempo.
heygrc cita el control específico en el cambio que lo afecta, por lo que el rastro está fundamentado en el código, no en un documento que describe lo que el código debería hacer.