Convicciones operativas
DeshCyber sostiene que un control solo queda demostrado cuando una parte independiente puede recalcular el mismo veredicto a partir de los mismos datos de entrada y la misma versión publicada de la regla.
No son valores colgados en una pared. Cada uno se corresponde con algo que la empresa publica, separa o se niega a hacer, de modo que un cliente puede exigírnoslo.
Cada convicción está escrita como una restricción, para que pueda comprobarse en lugar de admirarse.
La respuesta a un cuestionario es una opinión. Un control se demuestra con el artefacto que lo muestra en funcionamiento en una fecha determinada.
En la práctica
Cada veredicto se entrega con sus datos de entrada, su marca de tiempo y la versión de la regla.
La lógica que decide si un control se supera o no se redacta y versiona antes de aplicarse a un entorno de cliente.
En la práctica
La versión de la regla se cita en cada informe que emitimos.
La función que revisa la evidencia no depende de la función que la produce, de modo que ningún resultado lo califica su propio autor.
En la práctica
Aseguramiento mantiene una línea de reporte independiente ante el consejo.
Los modelos ayudan a leer documentos y redactar textos. Nunca deciden si un control se superó.
En la práctica
La salida de la IA está etiquetada y es revisable; los veredictos siguen basados en reglas.
La evidencia se produce donde ya operan los sistemas, en lugar de copiarse primero en un lago de datos del proveedor.
En la práctica
El despliegue mantiene los registros de origen dentro de su entorno.
Un hallazgo que un auditor no puede leer no es un hallazgo. Cada pantalla se resuelve en una exportación que una persona puede presentar.
En la práctica
Las exportaciones son legibles por máquina y comprensibles en inglés y bengalí.
Cuatro compromisos que un revisor de compras o de aseguramiento puede exigir a la empresa.
La lógica de control se publica con fecha de entrada en vigor antes de que cualquier veredicto dependa de ella.
Cualquiera que disponga de los mismos datos de entrada y la misma versión de la regla llega al mismo resultado.
Los sistemas de origen y los repositorios de evidencia permanecen bajo los propios controles del cliente.
Los cambios en las reglas se distribuyen con un plazo de revisión antes de que afecten a un veredicto.
Los principios, las personas y el modelo de trabajo detrás de la estructura anterior.
El modelo de trabajo muestra las cuatro etapas, los artefactos que deja cada una y los términos bajo los que las ejecutamos.