Lo que recibe al final del Diagnóstico.

1. Portada

• ·La empresa y el alcance verificado: sedes, entidades jurídicas, sistemas
• ·Las fechas de la Fase 1 y de la Fase 2
• ·Quién hizo el trabajo — un nombre, no un equipo
• ·Los niveles de acceso utilizados (N0, N1, N2) y dónde

2. El estado de los quince dominios

Un estado por dominio, siempre con la fuente y la fecha de la prueba. Un visto no es un estado.

Los seis estados posibles

Controlado

Existe, y hay prueba fechada producida por sus sistemas — Fuente, fecha, alcance

Implementado, prueba insuficiente

Existe, pero la evidencia es declarada o no es reproducible — Lo que falta para pasar a controlado

Parcial

Existe para parte del alcance — Qué parte queda fuera, con número

Ausente

No está implementado — Riesgo, responsable sugerido, plazo recomendado

No verificado

No ha sido posible obtener evidencia — La causa, nombrada: sin fuente, sin acceso, sin respuesta

Excepción aceptada

Conocida, documentada y firmada por la dirección — Motivo, fecha, plazo de revisión

3. Cinco acciones prioritarias

Cada una con quién la ejecuta, hasta cuándo, y el criterio que la da por cerrada — escrito antes de que nadie empiece.

1. 1 Acción · quién la ejecuta · plazo · criterio de aceptación
2. 2 Acción · quién la ejecuta · plazo · criterio de aceptación
3. 3 Acción · quién la ejecuta · plazo · criterio de aceptación
4. 4 Acción · quién la ejecuta · plazo · criterio de aceptación
5. 5 Acción · quién la ejecuta · plazo · criterio de aceptación

4. Lo que no ha sido posible verificar

Nombrado, con la causa: sin fuente, sin acceso o sin respuesta. No queda escondido en un anexo.

5. Matriz de Fuentes

Para cada dominio: de dónde viene la evidencia, quién la produce, con qué frecuencia y a qué nivel de acceso. Es lo que hace ejecutable un plan mensual.

6. Entre tres y siete oportunidades siguientes

Nombradas y presupuestables. Ninguna es obligatoria, y ninguna es condición de nada.