Casi todos los proveedores de tecnología entregan un informe mensual. Casi ninguno entrega evidencia. La diferencia no es de formato: es de qué se puede verificar.
Un informe dice «se realizaron los respaldos». Una evidencia dice: se ejecutó el respaldo del servidor de aplicaciones el 14 de agosto a las 02:10, terminó a las 03:47, ocupó 412 GB, y el 19 de agosto se restauró una muestra de tres archivos en un ambiente aislado con verificación de integridad correcta.
Lo primero es una afirmación. Lo segundo se puede auditar.
Qué contiene un expediente de control
El expediente que Otero entrega cada mes a los clientes del nivel Gobernado consolida siete bloques. Ninguno es opcional, porque cada uno responde a una pregunta que un auditor va a hacer:
- Disponibilidad medida de cada servicio administrado, contra el nivel comprometido. Con los incumplimientos incluidos, no solo los cumplimientos.
- Incidentes abiertos, cerrados y en curso, con tiempo de respuesta real y causa raíz de los críticos.
- Cambios aplicados: qué se cambió, quién lo autorizó, cuándo se ejecutó y cómo se revertiría.
- Respaldos verificados, con la prueba de restauración del periodo. Un respaldo que nunca se restauró es una hipótesis.
- Vulnerabilidades abiertas y cerradas, con severidad y edad. La edad importa más que el conteo.
- Accesos otorgados y revocados, con el registro de la baja de personal. Es el hallazgo de auditoría más común del sector.
- Excepciones aprobadas: lo que se decidió no corregir, quién lo aprobó y hasta cuándo. Un riesgo aceptado y documentado es gobierno; uno aceptado en silencio es negligencia.
La prueba de fuego: producirlo sin trabajo manual
Aquí es donde la mayoría de los proveedores se cae. Cualquiera puede armar un expediente impecable el primer mes, con dos personas dedicadas tres días a recopilar capturas de pantalla. El problema aparece en el mes siete, con quince clientes.
Si el expediente se produce a mano, no escala; y lo que no escala se degrada. Primero se atrasa, después se recorta, y al final vuelve a ser un informe de cortesía.
La regla interna es simple: el expediente se genera desde las herramientas de operación —la mesa de servicio, el monitoreo, el gestor de respaldos, el sistema de identidades— y el trabajo humano se limita a interpretar y a redactar el resumen ejecutivo. Si en algún mes hubo que armarlo a mano, eso no es un contratiempo: es una señal de que hay que rediseñar la instrumentación.
Por qué esto también le sirve si nadie lo supervisa
Una empresa sin regulador puede pensar que el expediente es papeleo. Tres razones para no descartarlo:
- Le da poder de negociación. Con disponibilidad medida en la mano, la conversación con cualquier proveedor cambia de tono.
- Sobrevive a la rotación. Cuando el encargado de sistemas se va, el conocimiento no se va con él.
- Es lo primero que pide un comprador. Si algún día vende la empresa o entra un socio, la debida diligencia va a preguntar exactamente esto.
La evidencia no se produce cuando alguien la pide. Se produce todos los meses, para que el día que la pidan ya exista.