1. Portada
- La empresa y el alcance verificado: sedes, entidades jurídicas, sistemas
- Las fechas de la Fase 1 y de la Fase 2
- Quién hizo el trabajo — un nombre, no un equipo
- Las formas de acceso utilizadas y dónde
2. El estado de los quince dominios
Un estado por dominio, siempre con la fuente y la fecha de la prueba. Un visto no es un estado.
La metodología Valluris organiza la verificación en 15 dominios, definidos por Valluris para pymes. No es una norma ni la lista de todo lo que existe en seguridad, y no sustituye a la ISO/IEC 27001 ni a las obligaciones legales que se apliquen.
| Dominio | Estado | Prueba (fuente y fecha) | Acceso |
|---|---|---|---|
| 01Identidad y autenticación | — | — | Solo lectura + Acompañado |
| 02Cuentas y accesos | — | — | Sin acceso / Solo lectura |
| 03Protección de los equipos | — | — | Sin acceso / Solo lectura |
| 04Vulnerabilidades y fin de soporte | — | — | Solo lectura |
| 05Exposición en Internet | — | — | Sin acceso |
| 06Seguridad del correo | — | — | Sin acceso / Solo lectura |
| 07Configuración segura y cifrado | — | — | Solo lectura |
| 08Copias de seguridad | — | — | Sin acceso |
| 09Protección de las copias | — | — | Acompañado |
| 10Recuperación probada | — | — | Acompañado |
| 11Concienciación y simulación | — | — | Acompañado |
| 12Registro y visibilidad | — | — | Solo lectura |
| 13Control del fraude financiero | — | — | Acompañado |
| 14Respuesta y continuidad | — | — | Acompañado |
| 15Proveedores críticos | — | — | Acompañado |
Los seis estados posibles
- Controlado
- Existe, y hay prueba fechada producida por sus sistemas — Fuente, fecha, alcance
- Implementado, prueba insuficiente
- Existe, pero la evidencia es declarada o no es reproducible — Lo que falta para pasar a controlado
- Parcial
- Existe para parte del alcance — Qué parte queda fuera, con número
- Ausente
- No está implementado — Riesgo, responsable sugerido, plazo recomendado
- No verificado
- No ha sido posible obtener evidencia — La causa, nombrada — una de cinco: fuera del alcance contratado · acceso no concedido · corresponde a un tercero · sin fuente de evidencia · sin respuesta del proveedor
- Excepción aceptada
- Conocida, documentada y firmada por la dirección — Motivo, fecha, plazo de revisión
3. Cinco acciones prioritarias
Cada una con quién la ejecuta, hasta cuándo, y el criterio que la da por cerrada — escrito antes de que nadie empiece.
- 1 Acción · quién la ejecuta · plazo · criterio de aceptación
- 2 Acción · quién la ejecuta · plazo · criterio de aceptación
- 3 Acción · quién la ejecuta · plazo · criterio de aceptación
- 4 Acción · quién la ejecuta · plazo · criterio de aceptación
- 5 Acción · quién la ejecuta · plazo · criterio de aceptación
4. Lo que no ha sido posible verificar
Nombrado, con la causa: sin fuente, sin acceso o sin respuesta. No queda escondido en un anexo.
5. Matriz de Fuentes
Para cada dominio: de dónde viene la evidencia, quién la produce, con qué frecuencia y a qué nivel de acceso. Es lo que hace ejecutable un plan mensual.
6. Entre tres y siete próximos pasos
Con nombre y presupuesto. Ninguno es obligatorio, y ninguno es condición de nada.