Lección 7 · Dictamen del SGIA: responsabilidades, evidencias y decisión

1. Qué puede aportar el componente al expediente

Después del recorrido, resultados, errores e integración, ya podemos responder con precisión. CerbIA aporta mecanismos configurables de evaluación y resultados interpretables. Para que contribuyan a una decisión del SGIA deben conectarse con el sistema concreto, su riesgo y la actuación de la aplicación.

GateVerdict no incorpora firma, fecha ni identidad de firmante. Contenido del modelo de resultado El registro utiliza logging de Python y la aplicación anfitriona elige destinos y configuración. Registro dependiente del anfitrión Conservar evidencia recuperable requiere por tanto un diseño de la organización; no se presume un expediente de auditoría completo por obtener un veredicto.

2. De la responsabilidad técnica a la autoridad

Aplicamos 5.3 a distribuir responsabilidades y autoridades. El desarrollador puede explicar y probar la integración; no se deduce que pueda aceptar por sí solo cualquier riesgo de negocio. Operación necesita saber cuándo detener, escalar y reanudar. Quien gestiona datos y terceros aporta criterios de su ámbito.

La dirección o autoridad designada decide sobre límites, recursos y riesgo según la estructura real. La revisión independiente evalúa evidencia y criterios; no sustituye a quien opera el servicio. En A.3 relacionamos estas funciones con la organización interna.

Con 7.2 se comprueba competencia para interpretar omisiones, porcentajes y consecuencias de cambios. Conocer un comando no basta para justificar la autorización de uso.

3. Preparar evidencia que responda preguntas

El expediente propuesto reúne alcance y flujos; evaluación de riesgos e impactos; configuración y versiones; cobertura y pruebas; reglas operativas; resultados de seguimiento y decisiones de cambio. Cada pieza debe responder una pregunta y tener una persona responsable de mantenerla.

El contrato de Scanner permite componentes que satisfacen un protocolo con identidad, acción, severidad, tipos y método de análisis. Contrato de extensibilidad Ampliar controles también amplía trabajo de evaluación y mantenimiento: no convierte una política específica en una función nativa ya acreditada.

4. Auditoría y revisión por la dirección

En 9.2, la revisión debe contrastar criterios aplicables con evidencia suficiente. En 9.3, la dirección utiliza resultados para decidir sobre recursos, prioridades, límites y continuidad. Son propósitos relacionados, pero una captura de un resultado favorable no satisface por sí sola ninguno de ellos.

Una conclusión útil dice qué se examinó, bajo qué versión y condiciones, qué resultados se obtuvieron y qué queda pendiente. Si falta evidencia, se expresa esa limitación. Para declarar una no conformidad se identifica el requisito o criterio incumplido y la evidencia que lo demuestra.

La selección de referencias al Anexo A se justifica desde el riesgo. No se asigna «cumplido» a un área porque exista un escáner con un nombre parecido.

5. Impactos e información a partes interesadas

El dictamen también debe explicar efectos sobre personas: exposición de información, errores de bloqueo, demoras o imposibilidad de acceder al servicio. Relacionamos esta evaluación con 6.1.4 y 8.4, y con A.5.

En A.8 planteamos qué información necesitan usuarios y otras partes interesadas sobre finalidad, límites, tratamiento de incidencias y vías de respuesta. En A.10 preguntamos por compromisos y condiciones de terceros; en A.7, por los datos utilizados.

Las medidas concretas dependen del contexto. No imponemos firma universal, revisión manual de cada mensaje ni una arquitectura única. Buscamos evidencia suficiente para la decisión que se pretende sostener.

6. Ejercicio resuelto: redactar una conclusión admisible

Supuesto docente. El equipo aporta el repositorio, una configuración validada y un ejemplo con is_safe=True. Afirma que el asistente cumple ISO/IEC 42001 y que no puede filtrar datos.

Solución. La evidencia acredita, como máximo, capacidad documentada, una comprobación técnica parcial de configuración y un resultado bajo condiciones concretas. Faltan alcance, riesgos, impactos, cobertura, efecto de la aplicación, eficacia y gestión continuada. No permite declarar conformidad ni ausencia de filtraciones.

El dictamen propuesto es: «La incorporación del componente puede contribuir al tratamiento definido. La autorización del uso sensible queda pendiente de las evidencias identificadas y de una decisión responsable sobre el riesgo residual». No afirmamos una infracción o una fuga sin evidencia.

7. Cerrar la decisión y revisarla

El responsable reúne el expediente; las funciones competentes revisan sus condiciones; la autoridad designada autoriza, limita o aplaza. Se documentan pendientes, plazo, seguimiento y desencadenantes de revisión. Si se acredita un incumplimiento, se aplica el proceso correspondiente y se verifica su eficacia. Así, el componente pasa de ser una promesa técnica a formar parte de una decisión del SGIA que otra persona puede comprender y contrastar.

Del contenido a una decisión gobernada

Matriz de aplicación de ISO/IEC 42001

La correspondencia relaciona mecanismos del componente con decisiones y evidencias de la organización. Se concreta según alcance, riesgos y controles seleccionados. Los registros propuestos son modelos docentes.

A.8 trata información para partes interesadas; A.10, relaciones con terceros y clientes. La cláusula 6.3 se refiere a cambios del propio SGIA. Las comprobaciones y la autorización de una configuración se concretan en el proceso aplicable.

ISO/IEC 42001 · Editor · Índice de la norma · IEC