Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
ASR-03 · Garantia e Evidências
As evidências são datadas, atribuíveis e retidas
As evidências mostram o que foi feito, por quem e quando, e são mantidas pelo período que a obrigação exige.
7frameworks o tratam integralmente
1parcialmente
0o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2CompletoCC4.1
- ISO 27001Completo7.5
- NIST CSFParcialGV.OV-03 Por meio da análise de desempenho.
- PCI DSSCompleto12.10.7
- HIPAACompleto164.316(b)
- GDPRCompletoArt. 5(2)
- Lei de IA da UECompletoArt. 18
- NIST AI RMFCompletoGOVERN 1.4
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Índice de evidências, cronograma de retenção, controles de armazenamento.
?Por que existe
Evidência sem data é uma afirmação.
Para uma organização menorUma pasta por controle, com arquivos datados.