Controles implementados, evidencia local y verificaciones pendientes. El alcance de cada afirmación debe revisarse antes de admitir datos reales o actuar.
Evidencia y alcance
Registro de alcance basado en las verificaciones locales del proyecto. No es una medición operativa actual ni acredita controles desplegados, certificación o un informe independiente.
Fecha del registro:
Las pruebas locales verificaron pertenencia al tenant, roles y políticas de aislamiento por filas en PostgreSQL.
Pendiente: comprobar las identidades y los permisos efectivos del entorno alojado.
Consultar evidencia y límitesLa integración local comprueba el diff firmado y el flujo WebAuthn con autenticador virtual de prueba.
Pendiente: revisión personal del diff, llave real y aprobación de una persona identificada.
Consultar evidencia y límitesEl verificador de la cadena y las restricciones de escritura se comprobaron en el entorno local.
Pendiente: retención S3, Object Lock efectivo, completitud, backups y restauración medida.
Consultar evidencia y límitesLa arquitectura y los manifests separan análisis, decisión y ejecución mediante servicios e identidades.
Pendiente: verificar la red, la denegación de acceso y los permisos reales en el despliegue autorizado.
Consultar evidencia y límitesEl pipeline configura escáneres, bloqueo de dependencias, firma y procedencia de artefactos.
Pendiente: revisar los checks del mismo commit y comprobar firma y admisión de cada artefacto publicado.
Consultar evidencia y límitesLos objetivos de disponibilidad, recuperación y atención necesitan mediciones y responsables en el entorno desplegado.
Pendiente: carga, alertas entregadas, simulacro de restore, evaluación del modelo real y revisión independiente.
Consultar evidencia y límitesUna persona debe validar la evidencia y el despliegue concreto antes de admitir datos reales o actuar. Un resultado automatizado y una fecha de registro no sustituyen esa decisión.
La ejecución comprueba una aprobación vinculada al plan firmado. Una persona debe revisar las evidencias y aprobar antes de actuar; una prueba automatizada no acredita esa revisión.
La arquitectura separa análisis, decisión y ejecución mediante servicios e identidades. La separación efectiva de red y permisos debe verificarse en cada despliegue.
El diseño trata el contenido externo como dato no confiable. Las defensas y evaluaciones se deben volver a probar con los proveedores y modelos que se vayan a utilizar.
Los permisos mínimos y las credenciales efímeras son objetivos del despliegue. No se afirma ausencia de secretos persistentes en entornos que no se han inventariado y validado.
La cadena de auditoría cuenta con verificación de integridad. La retención, la protección Object Lock, los backups y la restauración requieren comprobación operativa.
El repositorio contiene un modelo de amenazas y pruebas de controles. Sus resultados tienen un alcance concreto; no prueban ausencia absoluta de vulnerabilidades ni sustituyen un pentest o revisión humana.
Estas referencias orientan la preparación de controles. No se declara certificación ISO 27001 ni informe SOC 2 emitido. Una persona debe validar el alcance, las evidencias y los controles desplegados; esa revisión sigue pendiente.
RGPD y Ley 21.719 (Chile): referencias para revisar tratamiento, retención y supresión con las personas responsables de privacidad. La aplicabilidad y el cumplimiento requieren validación humana.
ISO 27001:2022 A.8.8: referencia para mapear evidencias de gestión de vulnerabilidades técnicas. El mapeo requiere revisión humana y no acredita certificación.
Preparación SOC 2: mapeo de criterios y revisión humana de evidencias pendientes. «python -m centinela_audit.cli verify» verifica la integridad de la cadena de auditoría; no sustituye una evaluación independiente de los controles.