Un proveedor de software en la nube había desplegado Drata como plataforma de cumplimiento automatizado dieciocho meses antes, en preparación para su primera auditoría SOC 2. La implementación había sido completa en el momento de la configuración: todos los sistemas de producción estaban conectados, las principales herramientas SaaS estaban integradas y las comprobaciones de cumplimiento cubrían el entorno tal como existía en la implementación. Durante los dieciocho meses siguientes, el proveedor añadió una región de nube europea para cumplir el GDPR, migró su autenticación de Okta a una configuración combinada de Okta y Microsoft Entra para su nivel empresarial y desplegó tres nuevas herramientas SaaS para las operaciones de atención al cliente. Ninguna de estas incorporaciones se había integrado en Drata. La nueva región de nube no estaba en el alcance de Drata. Los nuevos sistemas de autenticación tenían una cobertura parcial: Okta seguía conectado, pero Entra no. Las tres nuevas herramientas SaaS no tenían conexiones con Drata. El panel de cumplimiento aparecía en verde: las comprobaciones configuradas se superaban. El entorno añadido desde la configuración era invisible para la plataforma. Cuando se realizó la auditoría SOC 2 anual, los auditores constataron que la región de nube europea y el despliegue de Entra no estaban cubiertos por el programa de supervisión del cumplimiento que el proveedor había descrito.
¿Qué son realmente las brechas en la automatización del cumplimiento?
Las plataformas de automatización del cumplimiento (Drata, Vanta, Secureframe y herramientas similares) automatizan la recopilación de evidencias de cumplimiento, la supervisión de la eficacia de los controles y la evaluación de la preparación para las certificaciones de seguridad. Para ello se conectan a los sistemas integrados (proveedores de nube, plataformas de identidad, herramientas SaaS y entornos de desarrollo) y comprueban continuamente las configuraciones, las políticas de acceso y los registros de actividad de esos sistemas conectados frente a los requisitos de cumplimiento definidos. La cobertura es completa para los sistemas integrados e inexistente para los no integrados.
El problema del alcance de integración es la brecha central de la automatización del cumplimiento. Las plataformas de cumplimiento automatizado requieren una configuración de integración explícita para cada sistema que supervisan. Cada cuenta de nube debe conectarse mediante acceso de API. Cada herramienta SaaS debe tener su integración configurada. Cada plataforma de identidad debe estar autorizada para proporcionar a la plataforma los datos que necesita para evaluar los controles. Un entorno que crece (nuevas regiones de nube, nuevas herramientas SaaS, nuevos sistemas de identidad, nuevos entornos de desarrollo) supera la cobertura de la automatización del cumplimiento a menos que cada nueva incorporación se integre explícitamente en la plataforma.
El problema del entorno dinámico es lo que convierte el mantenimiento del alcance de integración en un requisito continuo de gobernanza y no en una tarea de configuración puntual. Los entornos de nube modernos cambian continuamente: se crean cuentas nuevas, se activan regiones nuevas, se despliegan nuevas herramientas SaaS. Cada cambio que se produce sin la correspondiente actualización de la integración de la automatización del cumplimiento genera una brecha creciente entre el entorno supervisado y el entorno real. La brecha es invisible desde el panel de cumplimiento: el panel muestra el entorno supervisado como conforme sin indicar que existe un entorno no supervisado. El panel en verde confirma el cumplimiento de la parte del entorno conectada a la plataforma.
- Nuevos sistemas no integrados: regiones de nube, plataformas de identidad y herramientas SaaS desplegadas después de la configuración inicial
- Panel en verde con una cobertura incompleta: sistemas supervisados conformes sin ninguna indicación de los sistemas no supervisados
- Ninguna revisión del alcance de integración: la configuración de la plataforma de cumplimiento no se revisa frente al inventario actual del entorno
- Divergencia del alcance de SOC 2: el alcance de la automatización del cumplimiento se aparta del alcance previsto de la auditoría SOC 2
- Automatización aceptada como cobertura integral: panel en verde interpretado como cumplimiento de todo el entorno
Por qué es importante
Las brechas en la automatización del cumplimiento son importantes para TPRM porque los proveedores citan cada vez más la supervisión automatizada del cumplimiento como evidencia de la eficacia continua de sus controles. Un proveedor que dice "usamos Drata para la supervisión continua del cumplimiento" aporta evidencia genuina de una capacidad significativa para los sistemas integrados en la plataforma. La pregunta que esa afirmación no responde es si el alcance integrado de la plataforma de cumplimiento coincide con los sistemas relevantes para el riesgo del cliente. Una región de nube europea que contiene datos de clientes de la UE y que no está integrada en la plataforma de supervisión del cumplimiento queda sin supervisión, independientemente de la capacidad de supervisión continua de la plataforma para la región integrada de EE. UU.
La dimensión de la divergencia del alcance de la auditoría SOC 2 es la consecuencia regulatoria. Cuando el alcance integrado de una plataforma de automatización del cumplimiento se aparta del alcance previsto de la auditoría SOC 2, los auditores encontrarán sistemas y servicios que el proveedor describió como supervisados de forma continua pero que no están conectados a la plataforma de supervisión. Esto genera hallazgos de auditoría que el panel de cumplimiento en verde del proveedor no anticipaba, porque el panel solo mostraba la parte integrada del entorno.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es aceptar el despliegue de una plataforma de automatización del cumplimiento como supervisión continua integral sin preguntar por el alcance integrado de la plataforma en relación con el entorno completo. El despliegue de la plataforma confirma que la herramienta está en uso. El alcance de integración determina qué supervisa la herramienta.
- Aceptar el despliegue de la automatización como cobertura integral
- Alcance de integración no solicitado: qué sistemas están conectados a la plataforma
- Inventario del entorno no comparado con el alcance de la automatización
- Incorporaciones recientes sin verificar su integración en la plataforma de cumplimiento
- Panel en verde interpretado como cumplimiento de todo el entorno
Cómo se ve una buena práctica
Los programas maduros de gobernanza de la automatización del cumplimiento mantienen inventarios explícitos del alcance de integración, revisan el alcance de integración frente a los inventarios del entorno con una frecuencia definida y exigen la integración de los nuevos sistemas en la plataforma de cumplimiento como condición para el despliegue en producción.
- Inventario del alcance de integración mantenido: qué sistemas están conectados a la plataforma de cumplimiento
- Comparación entre el entorno y el alcance de la automatización: revisión periódica que confirma que todos los sistemas de producción están dentro del alcance
- Integración de nuevos sistemas exigida antes del despliegue en producción
- Supervisión de brechas de integración: detectar cuándo las incorporaciones al entorno superan el alcance de la automatización del cumplimiento
- Verificación de la alineación con el alcance de SOC 2: alcance de la automatización del cumplimiento confirmado como coincidente con el alcance de auditoría previsto
Herramientas
Automatización del cumplimiento: Drata, Vanta, Secureframe
Las plataformas de automatización del cumplimiento suelen ofrecer inventarios del alcance de integración, es decir, listas de sistemas conectados con su estado de integración. Para los profesionales de TPRM, pedir a los proveedores el inventario del alcance de integración de su plataforma de cumplimiento y compararlo con la descripción del sistema de SOC 2 declarada por el proveedor aporta la pregunta sobre la alineación del alcance que el panel en verde por sí solo no puede responder.
Inventario de activos: AWS Config, Azure Resource Manager, infraestructura como código
Los inventarios de activos en la nube proporcionan la referencia fiable de qué sistemas existen en el entorno del proveedor, lo que permite compararlos con el alcance integrado de la plataforma de automatización del cumplimiento. Para los profesionales de TPRM, preguntar si el proveedor compara el alcance de integración de su plataforma de cumplimiento con su inventario de activos en la nube con una frecuencia definida aporta una pregunta concreta sobre el mantenimiento del alcance.
Desafíos de gobernanza
El desafío de gobernanza del alcance de la automatización del cumplimiento es el problema de la velocidad operativa. En entornos con despliegue continuo e infraestructura como código, se pueden crear nuevos sistemas y promoverlos a producción más rápido de lo que se pueden iniciar y completar los flujos de integración. Una gobernanza que exige la integración como condición para el despliegue en producción crea un punto de control en el proceso que ralentiza la velocidad de despliegue, pero mantiene la integridad del alcance del cumplimiento.
- Solicite el inventario del alcance de integración de la plataforma de cumplimiento
- Compare el alcance de integración con el inventario de activos en la nube
- Pregunte si las incorporaciones recientes de regiones de nube y herramientas SaaS están integradas
- Pregunte si se exige la integración de los nuevos sistemas antes del despliegue en producción
- Verifique que la descripción del sistema de SOC 2 coincide con el alcance de la automatización del cumplimiento
Si usted forma parte de un equipo pequeño
Formule dos preguntas a su proveedor con cumplimiento automatizado. Primera: ¿puede facilitar la lista de sistemas integrados en su plataforma de supervisión del cumplimiento, es decir, qué cuentas de nube, plataformas de identidad y herramientas SaaS están conectadas actualmente? Segunda: ¿se ha desplegado en los últimos doce meses alguna región de nube, sistema de identidad o herramienta SaaS que todavía no esté integrada en la plataforma de cumplimiento? La segunda pregunta saca a la luz directamente la brecha propia de un entorno dinámico que la lista de la primera pregunta no puede revelar por sí sola.
- Solicite el inventario del alcance de integración de la plataforma de cumplimiento
- Pregunte si las incorporaciones recientes están integradas en la plataforma de cumplimiento
- Compare el inventario del alcance con la descripción del sistema de SOC 2
- Pregunte si se exige la integración de los nuevos sistemas antes del despliegue en producción
Qué exigir
Pregunte directamente:
"¿Puede facilitar la lista de sistemas integrados actualmente en su plataforma de automatización del cumplimiento, en concreto qué cuentas de nube, regiones de nube, plataformas de identidad y herramientas SaaS están conectadas? ¿Hay algún sistema en su entorno de producción que no esté integrado actualmente en la plataforma?"
Evidencia que debe esperar
- Inventario del alcance de integración de la plataforma de cumplimiento
- Confirmación del estado de integración de las incorporaciones recientes
- Confirmación de la alineación del alcance con la descripción del sistema de SOC 2
- Proceso de integración de nuevos sistemas antes del despliegue en producción
A un proveedor cuyo panel de cumplimiento aparece en verde se le debe pedir la lista de sistemas integrados y preguntar si algún sistema de producción queda fuera de esa lista. Verde significa conforme en lo que se supervisa. El inventario del alcance revela qué se supervisa.
Cómo demostrarlo
- Registros del inventario del alcance de integración de la automatización del cumplimiento
- Registros de comparación entre el entorno y el alcance de la automatización
- Documentación del proceso de integración de nuevos sistemas
- Verificación de la alineación con el alcance de SOC 2
Conclusión clave
El panel de cumplimiento está en verde. La región de nube europea no está conectada a la plataforma. El despliegue de Entra está conectado parcialmente. Las tres nuevas herramientas SaaS no tienen integración. El panel en verde confirma que los sistemas que se conectaron a la plataforma durante la configuración siguen siendo conformes. No confirma que se supervise el entorno que ha crecido desde entonces. La automatización del cumplimiento es tan completa como su alcance de integración. El alcance de integración debe coincidir con el entorno real para que la automatización ofrezca una garantía continua significativa. Solicite el inventario del alcance de integración. Compárelo con el inventario del entorno. La brecha entre ambos es el entorno no supervisado que el panel en verde no puede ver.