Cómo las dimensiones se convierten en una evaluación
Las seis dimensiones organizan la visión del entorno. El alcance convierte ese mapa en trabajo concreto: sistemas incluidos, preguntas, pruebas, accesos, responsables y entregables.
Delimitar
La empresa y el responsable de la evaluación acuerdan los activos, las autorizaciones y los criterios de observación.
Recopilar y verificar
Se reúnen información, configuraciones y evidencias. Los profesionales autorizados ejecutan las pruebas técnicas definidas en el alcance.
Relacionar y priorizar
Los resultados se vinculan al contexto del negocio y a las acciones de mejora. Las correcciones y nuevas verificaciones mantienen su trazabilidad.
Inventario tecnológico y de datos
¿Dónde está la información?
Qué se revisa
- Sistemas propios, ERPs, CRMs y servicios en la nube
- Bases de datos, archivos, hojas de cálculo y repositorios
- APIs, integraciones, webhooks y uso compartido con terceros
- Categorías de datos personales involucradas en cada flujo
Información y evidencias
Inventarios existentes, diagramas, contratos de servicios, listas de integraciones y registros de responsables.
Un mapa de los sistemas y flujos de información incluidos en la evaluación, con carencias que deben confirmarse.
Identidad y control de acceso
¿Quién puede acceder a la información?
Qué se revisa
- Perfiles, permisos y accesos administrativos
- Autenticación multifactor y cuentas compartidas
- Usuarios inactivos, terceros y cierre de accesos
- Separación de funciones y revisión de privilegios
Información y evidencias
Listas de perfiles y permisos, reglas de incorporación y baja, registros de revisión y configuraciones autorizadas.
Relación entre accesos, responsables y puntos que requieren ajuste o validación.
Aplicaciones y APIs
¿Cómo se conectan los sistemas?
Qué se revisa
- Autenticación y autorización en las aplicaciones incluidas
- Permisos de objetos, rutas e integraciones
- Exposición de datos en respuestas, registros y configuraciones
- Tratamiento de entradas y otras pruebas definidas en el alcance
Información y evidencias
Listas de aplicaciones y endpoints, documentación, cuentas de prueba, entornos y autorización para las pruebas acordadas.
Hallazgos técnicos con contexto, evidencia y recomendaciones para los activos efectivamente evaluados.
Almacenamiento y ciclo de vida
¿Qué ocurre con los datos después?
Qué se revisa
- Cifrado y protección de entornos de almacenamiento
- Copias de seguridad, recuperación y continuidad
- Conservación, eliminación y propagación de eliminaciones
- Copias, registros y uso compartido relevantes para el proceso
Información y evidencias
Políticas de conservación, configuraciones, registros de copias de seguridad y demostraciones de recuperación o eliminación incluidas en el trabajo.
Una visión de los controles de almacenamiento y verificaciones realizadas, incluidas dependencias y siguientes pasos.
Gobernanza y responsabilidades
¿Quién sigue las decisiones?
Qué se revisa
- Responsables de sistemas, datos y proveedores
- Políticas, mantenimiento y revisión de controles
- Gestión de incidentes y comunicación interna
- Continuidad y seguimiento de acciones
Información y evidencias
Políticas, contratos, flujos de aprobación, registros de incidentes, decisiones y responsables de cada área.
Responsabilidades más claras y un plan de seguimiento para las medidas priorizadas.
Protección de datos personales
¿Qué sustenta cada conclusión?
Qué se revisa
- Finalidades, categorías de datos y uso compartido
- Transparencia y atención a las solicitudes de los titulares
- Registros de medidas y evaluaciones de impacto pertinentes
- Relación entre hallazgos técnicos y los datos personales involucrados
Información y evidencias
Registros de la operación, información de privacidad, procesos de atención de solicitudes, contratos y evidencias de controles.
Una matriz de evidencias y preguntas que apoyan el análisis especializado de protección de datos.
Qué recibe la empresa para decidir
Según el alcance acordado, el trabajo puede incluir inventario, mapa de flujos, hallazgos técnicos, matriz de evidencias, informe ejecutivo y plan de acción. Cada conclusión debe vincularse a lo observado.
Cuando se corrige y se repite una prueba, la nueva observación se registra con evidencia y contexto. Esto permite seguir los cambios sin borrar la evaluación anterior.