Monitoreo continuo de cumplimiento

1) ¿Qué es la supervisión continua de la conformidad?

• Reducir los controles manuales y el factor humano.
• Reducir las infracciones TTD/MTTR.
• Proporcionar un estado «audit-ready» en cualquier momento.
• Acelerar la implementación de cambios a través de policy-as-code.

2) Alcance (scope) CCM

Accesos e identidades (IAM/IGA): SoD, roles redundantes, «accesos sin propietario».
Datos y privacidad: retén/TTL, enmascaramiento, Legal Hold, DSAR-SLA.
Infraestructura/nube/IaC: derivación de configuraciones, cifrado, segmentación.
Producto/código/CI-CD: secretos en repositorios, SCA/SAST/DAST, licencias OSS.
Transacciones/AML: cribado sancionador/RER, reglas de anomalías, NAT/SAR.
Operaciones: registros de auditoría, redundancia y recuperación, vulnerabilidades.

3) Arquitectura de referencia CCM

1. Recolección de señales: agentes y conectores (nube, DB, registros, SIEM, IAM, CI/CD, DLP, correo/archivos de chat).

2. Normalización y enriquecimiento: bus de eventos (Kafka/Bus) + ETL/ELT en escaparates Compliance.

3. Políticas como código (CaC): repositorio YAML/Rego/políticas con versiones, pruebas y rugidos.

4. Motor de reglas (stream/batch): calcula las infracciones, la prioridad y el riesgo-score.

5. Orquestación: ticketing/SOAR + escalada por RACI, auto-remediación, extracto de SLA.

6. Evidence/WORM: artefactos inmutables (registros, instantáneas, informes).

7. Dashboards y reporting: heatmap, KPI/SLO, descargas regulatorias.

4) Políticas-como-código: mini-esquemas

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Controles normativos modelo

6) Métricas y SLO

Cobertura:% de los sistemas/datos bajo supervisión (objetivo ≥ 90%).
Controles MTTD/MTTR: tiempo medio antes de la eliminación.
Drift Rate: derivación de configuraciones/mes.
False Positive Rate: proporción de falsos positivos según las reglas.
Audit Readiness Time: tiempo de preparación de la evidencia (el objetivo es el reloj).
DSAR SLA:% cerrado a tiempo; mediana de respuesta.
Access Hygiene: proporción de derechos obsoletos; cierre de las infracciones de SoD.

7) Procesos (SOP) CCM

1. Identificación de requisitos → matriz «norma → control → métrica».
2. Diseño de reglas → policy-as-code, pruebas, PR/rugido, versioning.
3. Despliegue → validación de staging, luego prod con una bandera de función.
4. Monitoreo y alertas → priorización (sev/impact), cancelación de ruido, deduplicación.
5. Remediation → auto-playbooks + tickets a los propietarios; Escalada SLA.
6. Evidence → instantáneas periódicas; WORM/immutability; resúmenes hash.
7. Reevaluación → afinación trimestral de reglas, análisis FPR/TPR, comparaciones A/B.
8. Formación → acoplamiento de propietarios de controles, instrucciones y directorios de excepciones (waivers).

8) Ciclo de vida de alerta

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Para cada paso se fijan: el propietario, el plazo, las medidas adoptadas, los artefactos de prueba.

9) Integración

GRC - requisitos, riesgos, controles, campañas de rugido, almacenamiento de artefactos.
SIEM/SOAR - correlación de eventos, playbooks automáticos.
IAM/IGA - certificaciones, SoD, RBAC/ABAC, ciclo de vida de los accesos.
CI/CD/DevSecOps - Gates de cumplimiento, SAST/DAST/SCA, secreto-escaneado.
Plataforma de datos - escaparates «Compliance», catálogo/lineage, enmascaramiento.
DLP/EDRM - etiquetas de sensibilidad, prohibición de exfiltración, registros.
Ticketing/ITSM - SLA, escaladas, informes de propietarios y equipos.

10) Dashboards (conjunto mínimo)

Compliance Heatmap (sistemas × normas × estado).
SLA Center (DSAR/AML/PCI/SOC2 plazos, retrasos).
Access & SoD (roles tóxicos, accesos «olvidados»).
Retention & Deletion (infracciones TTL, bloqueos de Legal Hold).
Infra/Cloud Drift (inconsistencias de IaC/estado real).
Incidents & Findings (tendencias de repetición, eficiencia de remediación).

11) Ejemplos de reglas (SQL/pseudo)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Roles y RACI

13) Gestión de excepciones (waivers)

Solicitud formal con justificación y fecha de caducidad.
Evaluación de riesgos y controles compensatorios.
Auto-recordatorio de revisión.
Presentación de informes (transparencia para el auditor).

14) Privacidad y seguridad en CCM

Minimización de datos en escaparates y logs (edición PII).
Reparto de responsabilidades, los menores privilegios.
Immutability (WORM/S3 Object Lock) для evidence.
Confirmación criptográfica de informes (cadenas hash).
Control de acceso y registro de artefactos.

15) Hojas de cheques

Inicio de CCM

• Se acuerda la matriz «norma → control de la métrica →».
• Se han conectado fuentes de señal clave.
• Las políticas están descritas por el código, cubiertas con pruebas y rugidos.
• Se incluyen dashboards y alertas; SLO/SLA definidos.
• Se ha configurado un archivo de seguridad (immutability).
• Propietarios capacitados; se ha definido un proceso de waivers.

Antes de la auditoría

• Versiones actualizadas de políticas y cambios.
• Se llevó a cabo una elección dry-run de la videncia.
• Se han cerrado los retrasos en la remediación y las excepciones.
• Métricas comprobadas de Coverage/MTTD/MTTR/Drift.

16) Antipattern

«Auditorías de auditoría» en lugar de controles permanentes.
Reglas ruidosas sin priorización ni deduplicación.
Políticas sin versionar y pruebas.
Monitoreo sin propietarios y SLA.
Evidence en lugares modificados/sin fijación hash.

17) Modelo de madurez CCM (M0-M4)

M0 Manual: comprobaciones esporádicas, informes en Excel.
M1 Instrumental: telemetría parcial, reglas únicas.
M2 Autocaravanas: inspecciones permanentes, SLO básicos y alertas.
M3 Orchestrated: SOAR, auto-remediation, «audit-ready» cualquier día.
M4 Continuous Assurance: verificaciones en SDLC/venta + autoservicio del auditor.

18) Artículos relacionados wiki

Automatización del cumplimiento y los informes

Legal Hold y congelación de datos

Privacidad por Diseño y Minimización de Datos

Gráficos de almacenamiento y eliminación de datos

PCI DSS/SOC 2: control y certificación

Gestión de incidentes y fuerza

El CCM es el «pulso de conformidad» de una organización: las políticas se expresan mediante código, las señales fluyen continuamente, las infracciones se ven instantáneamente, las pruebas se recogen automáticamente y la auditoría se convierte en una rutina operativa en lugar de un incendio.