{"id":1930,"date":"2026-02-10T22:54:09","date_gmt":"2026-02-10T21:54:09","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/dora-articulo-28-paquete-de-evidencias-perspectivas-del-auditor-e-ingeniero\/"},"modified":"2026-03-26T09:23:38","modified_gmt":"2026-03-26T08:23:38","slug":"dora-article-28-evidence-pack","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/dora-article-28-evidence-pack\/","title":{"rendered":"DORA Art\u00edculo 28 \u2014 Paquete de Evidencias (Perspectivas del Auditor e Ingeniero)"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Introducci\u00f3n<\/h2>\n\n\n\n<p>DORA Art\u00edculo 28 exige que las entidades financieras reguladas demuestren un control efectivo sobre los <strong>riesgos de terceros ICT<\/strong>.<\/p>\n\n\n\n<p>Esta obligaci\u00f3n va mucho m\u00e1s all\u00e1 de cuestionarios a proveedores o declaraciones contractuales. Los auditores no eval\u00faan intenciones \u2014 eval\u00faan <strong>evidencias<\/strong>.<\/p>\n\n\n\n<p>Este art\u00edculo proporciona un paquete de evidencias pr\u00e1ctico para DORA Art\u00edculo 28, centr\u00e1ndose en lo que los auditores suelen solicitar, de d\u00f3nde debe provenir la evidencia y c\u00f3mo los sistemas CI\/CD y de entrega en la nube deben respaldar la gesti\u00f3n de riesgos de terceros ICT.<\/p>\n\n\n\n<p>Tiende un puente entre dos perspectivas complementarias:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Los auditores<\/strong> piensan en t\u00e9rminos de <em>objetivos de control, evidencias y responsabilidad<\/em>.<\/li>\n\n\n\n<li><strong>Los ingenieros<\/strong> piensan en t\u00e9rminos de <em>sistemas, pipelines, configuraciones y automatizaci\u00f3n<\/em>.<\/li>\n<\/ul>\n\n\n\n<p>Ambas perspectivas son v\u00e1lidas \u2014 pero <strong>no son intercambiables<\/strong>. Este art\u00edculo muestra qu\u00e9 verifican realmente los auditores, c\u00f3mo deben los ingenieros implementar controles para satisfacer esas expectativas y d\u00f3nde suelen producirse malentendidos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">De qu\u00e9 tratan realmente las auditor\u00edas del Art\u00edculo 28<\/h2>\n\n\n\n<p>Desde una perspectiva de auditor\u00eda, el Art\u00edculo 28 responde a cuatro preguntas fundamentales:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>\u00bfSabe en qu\u00e9 terceros ICT conf\u00eda?<\/strong><\/li>\n\n\n\n<li><strong>\u00bfSon las obligaciones contractuales exigibles en la pr\u00e1ctica?<\/strong><\/li>\n\n\n\n<li><strong>\u00bfPuede monitorizar continuamente los riesgos de terceros?<\/strong><\/li>\n\n\n\n<li><strong>\u00bfPuede salir de forma segura si un proveedor falla o deja de cumplir?<\/strong><\/li>\n<\/ol>\n\n\n\n<p>La evidencia debe ser <strong>operacional<\/strong>, <strong>trazable<\/strong> y <strong>verificable<\/strong> \u2014 no solo documental.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo abordan los auditores una revisi\u00f3n del Art\u00edculo 28<\/h3>\n\n\n\n<p>Los auditores no comienzan con herramientas o diagramas de arquitectura. Comienzan con <strong>preguntas de riesgo<\/strong>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\u00bfLos proveedores ICT de terceros introducen riesgos operacionales no gestionados?<\/li>\n\n\n\n<li>\u00bfSon los controles exigibles m\u00e1s all\u00e1 de los sistemas internos?<\/li>\n\n\n\n<li>\u00bfPuede la organizaci\u00f3n demostrar una supervisi\u00f3n continua?<\/li>\n\n\n\n<li>\u00bfEs la evidencia objetiva y acotada en el tiempo?<\/li>\n<\/ul>\n\n\n\n<p>La evidencia se eval\u00faa como <strong>prueba de control operacional<\/strong>, no como confirmaci\u00f3n de pol\u00edtica.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Perspectiva<\/th><th>Enfoque<\/th><\/tr><\/thead><tbody><tr><td><strong>Visi\u00f3n del Auditor<\/strong><\/td><td>\u00bfPuede esta organizaci\u00f3n demostrar un control efectivo del riesgo ICT de terceros?<\/td><\/tr><tr><td><strong>Visi\u00f3n del Ingeniero<\/strong><\/td><td>\u00bfC\u00f3mo aplicamos y generamos evidencias a trav\u00e9s de CI\/CD y sistemas en la nube?<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\">Descripci\u00f3n general del paquete de evidencias<\/h2>\n\n\n\n<p>Un paquete de evidencias DORA Art\u00edculo 28 abarca t\u00edpicamente <strong>cinco dominios de evidencia<\/strong>:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Inventario de proveedores y criticidad<\/li>\n\n\n\n<li>Controles contractuales y derechos de auditor\u00eda<\/li>\n\n\n\n<li>Aplicaci\u00f3n de controles CI\/CD y en la nube<\/li>\n\n\n\n<li>Evidencia de monitorizaci\u00f3n e incidentes<\/li>\n\n\n\n<li>Evidencia de estrategia de salida y resiliencia<\/li>\n<\/ol>\n\n\n\n<p>Cada dominio a continuaci\u00f3n explica qu\u00e9 esperan los auditores, qu\u00e9 evidencia mostrar y de d\u00f3nde debe provenir \u2014 desde la <strong>Visi\u00f3n del Auditor<\/strong> y la <strong>Visi\u00f3n del Ingeniero<\/strong>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">1. Inventario de Proveedores y Criticidad<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 esperan los auditores<\/h3>\n\n\n\n<p>Los auditores quieren pruebas de que usted ha:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>identificado <strong>todos los proveedores ICT de terceros<\/strong>,<\/li>\n\n\n\n<li>los ha clasificado por <strong>criticidad<\/strong>,<\/li>\n\n\n\n<li>los ha vinculado a <strong>servicios empresariales y pipelines de entrega<\/strong>.<\/li>\n<\/ul>\n\n\n\n<p>Esperan la inclusi\u00f3n de plataformas SaaS de CI\/CD (no solo proveedores tradicionales), visibilidad sobre servicios en la nube, registros y alojamiento de c\u00f3digo, y vinculaci\u00f3n entre proveedores y los sistemas realmente en uso.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Evidencias a proporcionar<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Inventario centralizado de proveedores ICT<\/strong><\/li>\n\n\n\n<li>Clasificaci\u00f3n de criticidad (cr\u00edtico \/ importante \/ no cr\u00edtico)<\/li>\n\n\n\n<li>Mapeo entre proveedores, herramientas CI\/CD y componentes de ejecuci\u00f3n en la nube<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Artefactos de evidencia t\u00edpicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Registro de inventario de proveedores (exportable)<\/li>\n\n\n\n<li>Metodolog\u00eda de clasificaci\u00f3n de riesgos<\/li>\n\n\n\n<li>Tabla de mapeo: <em>Proveedor \u2192 Componente CI\/CD \/ Nube<\/em><\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Auditor<\/h3>\n\n\n\n<p>Los auditores preguntan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\u00bfTiene un <strong>inventario completo<\/strong> de proveedores ICT de terceros?<\/li>\n\n\n\n<li>\u00bfEst\u00e1n los proveedores <strong>clasificados por criticidad<\/strong>?<\/li>\n\n\n\n<li>\u00bfEst\u00e1 esta clasificaci\u00f3n vinculada a <strong>servicios empresariales y sistemas de entrega<\/strong>?<\/li>\n<\/ul>\n\n\n\n<p>Lo que verifican: integridad del inventario, coherencia con los sistemas realmente en uso y trazabilidad hasta las decisiones de gesti\u00f3n de riesgos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Ingeniero<\/h3>\n\n\n\n<p>Los ingenieros deben garantizar que:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>las plataformas CI\/CD, el alojamiento Git, los registros, los runners y los servicios en la nube est\u00e9n <strong>registrados expl\u00edcitamente como proveedores<\/strong>,<\/li>\n\n\n\n<li>los metadatos del proveedor (criticidad, propietario, uso) se mantengan <strong>sincronizados<\/strong> con el uso real,<\/li>\n\n\n\n<li>los pipelines hagan referencia solo a proveedores aprobados.<\/li>\n<\/ul>\n\n\n\n<p>Implementaci\u00f3n t\u00edpica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CMDB o registro de proveedores vinculado a herramientas CI\/CD,<\/li>\n\n\n\n<li>comprobaciones automatizadas que impidan servicios no aprobados,<\/li>\n\n\n\n<li>documentaci\u00f3n generada a partir de configuraciones en vivo.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">2. Controles Contractuales y Derechos de Auditor\u00eda<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 esperan los auditores<\/h3>\n\n\n\n<p>Los contratos deben <strong>habilitar el control<\/strong>, no solo describirlo. Los auditores buscan cl\u00e1usulas exigibles que cubran:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>derechos de auditor\u00eda,<\/li>\n\n\n\n<li>plazos de notificaci\u00f3n de incidentes,<\/li>\n\n\n\n<li>retenci\u00f3n de evidencias,<\/li>\n\n\n\n<li>transparencia sobre subcontratistas,<\/li>\n\n\n\n<li>obligaciones de salida y transici\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p>M\u00e1s importante a\u00fan, verifican que estas cl\u00e1usulas sean <strong>operativamente exigibles<\/strong>.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p><em>\u00abTiene derechos de auditor\u00eda en el contrato \u2014 \u00bfc\u00f3mo los ejerce en la pr\u00e1ctica?\u00bb<\/em><\/p>\n<\/blockquote>\n\n\n\n<h3 class=\"wp-block-heading\">Evidencias a proporcionar<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Extractos de contratos que muestren derechos de auditor\u00eda, acceso de monitorizaci\u00f3n y cl\u00e1usulas de notificaci\u00f3n de incidentes<\/li>\n\n\n\n<li>Prueba de que los contratos se aplican a los <strong>proveedores realmente en uso<\/strong><\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Artefactos de evidencia t\u00edpicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Extractos de cl\u00e1usulas contractuales<\/li>\n\n\n\n<li>Registro de contratos con proveedores<\/li>\n\n\n\n<li>Notas de revisi\u00f3n legal que vinculan las cl\u00e1usulas con los requisitos del Art\u00edculo 28<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Auditor<\/h3>\n\n\n\n<p>Los auditores buscan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>derechos de auditor\u00eda<\/strong> exigibles,<\/li>\n\n\n\n<li><strong>obligaciones de notificaci\u00f3n de incidentes<\/strong>,<\/li>\n\n\n\n<li>compromisos de retenci\u00f3n de evidencias,<\/li>\n\n\n\n<li>visibilidad sobre <strong>subprocesadores<\/strong>,<\/li>\n\n\n\n<li><strong>cl\u00e1usulas de salida<\/strong> definidas.<\/li>\n<\/ul>\n\n\n\n<p><em>No<\/em> asumen que los contratos son efectivos solo porque existen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Ingeniero<\/h3>\n\n\n\n<p>Los ingenieros deben:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>saber qu\u00e9 obligaciones contractuales afectan a los controles t\u00e9cnicos,<\/li>\n\n\n\n<li>garantizar que las plataformas puedan realmente <strong>producir la evidencia requerida<\/strong>,<\/li>\n\n\n\n<li>respaldar las auditor\u00edas sin recopilaci\u00f3n de datos ad hoc.<\/li>\n<\/ul>\n\n\n\n<p>Implementaci\u00f3n t\u00edpica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>mapear cl\u00e1usulas contractuales \u2192 controles t\u00e9cnicos,<\/li>\n\n\n\n<li>garantizar que los logs, SBOMs y aprobaciones se conserven el tiempo suficiente,<\/li>\n\n\n\n<li>hacer t\u00e9cnicamente posible el acceso de auditor\u00eda (solo lectura, con alcance definido).<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">3. Aplicaci\u00f3n de Controles CI\/CD y en la Nube<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 esperan los auditores<\/h3>\n\n\n\n<p>Los auditores verifican que las herramientas de terceros est\u00e1n <strong>controladas en la pr\u00e1ctica<\/strong>, no confiadas ciegamente. Esto incluye plataformas de alojamiento de c\u00f3digo fuente, servicios de orquestaci\u00f3n CI\/CD, runners y entornos de ejecuci\u00f3n, y registros de artefactos y ecosistemas de dependencias.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Evidencias a proporcionar<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Configuraci\u00f3n de control de acceso (IAM, roles, SoD)<\/li>\n\n\n\n<li>Reglas de protecci\u00f3n de ramas y aprobaci\u00f3n<\/li>\n\n\n\n<li>Aislamiento de builds y gobernanza de runners<\/li>\n\n\n\n<li>Integridad de artefactos (SBOM, firma)<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Artefactos de evidencia t\u00edpicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Capturas de pantalla o exportaciones de la configuraci\u00f3n de la plataforma CI\/CD<\/li>\n\n\n\n<li>Definiciones de pol\u00edticas de pipeline (Policy as Code)<\/li>\n\n\n\n<li>Informes de SBOM y firma de artefactos<\/li>\n\n\n\n<li>Logs de acceso de plataformas Git \/ CI\/CD<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Auditor<\/h3>\n\n\n\n<p>Los auditores quieren pruebas de que:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>el acceso est\u00e1 controlado y segregado,<\/li>\n\n\n\n<li>las aprobaciones se aplican obligatoriamente,<\/li>\n\n\n\n<li>los artefactos est\u00e1n protegidos contra manipulaciones,<\/li>\n\n\n\n<li>las herramientas de terceros no eluden los controles internos.<\/li>\n<\/ul>\n\n\n\n<p>Comprueban si los controles son <strong>sistem\u00e1ticos<\/strong>, no manuales.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Ingeniero<\/h3>\n\n\n\n<p>Los ingenieros implementan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>IAM, separaci\u00f3n de roles, protecciones de ramas,<\/li>\n\n\n\n<li>aprobaciones de pipeline y puertas de pol\u00edtica,<\/li>\n\n\n\n<li>generaci\u00f3n de SBOM y firma de artefactos,<\/li>\n\n\n\n<li>aislamiento de runners y alcance de tokens.<\/li>\n<\/ul>\n\n\n\n<p>Cambio de mentalidad clave:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p><em>\u00abSeguro por defecto\u00bb no es suficiente \u2014 los controles deben ser demostrables.<\/em><\/p>\n<\/blockquote>\n\n\n\n<h2 class=\"wp-block-heading\">4. Monitorizaci\u00f3n y Gesti\u00f3n de Incidentes<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 esperan los auditores<\/h3>\n\n\n\n<p>DORA exige una <strong>monitorizaci\u00f3n continua<\/strong>, no comprobaciones peri\u00f3dicas. Los auditores verifican que los servicios de terceros se monitorizan, los incidentes se detectan y la evidencia se retiene y es trazable.<\/p>\n\n\n\n<p>Buscan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>datos de monitorizaci\u00f3n en tiempo real o hist\u00f3ricos,<\/li>\n\n\n\n<li>alertas vinculadas a servicios de terceros,<\/li>\n\n\n\n<li>visibilidad sobre la disponibilidad e integridad de la plataforma CI\/CD.<\/li>\n<\/ul>\n\n\n\n<p>La evidencia de monitorizaci\u00f3n debe demostrar que la degradaci\u00f3n de terceros ser\u00eda detectada y los incidentes se escalar\u00edan dentro de los plazos definidos. Las evaluaciones de riesgo est\u00e1ticas por s\u00ed solas son insuficientes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Evidencias a proporcionar<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Paneles de monitorizaci\u00f3n (se\u00f1ales de disponibilidad e integridad)<\/li>\n\n\n\n<li>Logs de incidentes relacionados con servicios de terceros<\/li>\n\n\n\n<li>Evidencia de escalada y notificaci\u00f3n de incidentes<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Artefactos de evidencia t\u00edpicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Logs y m\u00e9tricas de plataformas CI\/CD y en la nube<\/li>\n\n\n\n<li>Tickets de incidentes que hacen referencia a proveedores de terceros<\/li>\n\n\n\n<li>Evidencia de integraci\u00f3n SIEM u observabilidad<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Auditor<\/h3>\n\n\n\n<p>Los auditores eval\u00faan si:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>los servicios de terceros se <strong>monitorizan continuamente<\/strong>,<\/li>\n\n\n\n<li>los incidentes que involucran a proveedores son detectables,<\/li>\n\n\n\n<li>el manejo de incidentes est\u00e1 documentado y es trazable.<\/li>\n<\/ul>\n\n\n\n<p>Rechazan las evaluaciones de riesgo anuales sin monitorizaci\u00f3n operacional.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Ingeniero<\/h3>\n\n\n\n<p>Los ingenieros garantizan que:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>las plataformas CI\/CD, los registros y los entornos de ejecuci\u00f3n en la nube emitan logs,<\/li>\n\n\n\n<li>la monitorizaci\u00f3n alimente el SIEM o el registro centralizado,<\/li>\n\n\n\n<li>los incidentes hagan referencia a los proveedores de terceros afectados.<\/li>\n<\/ul>\n\n\n\n<p>Implementaci\u00f3n t\u00edpica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>pipelines de observabilidad,<\/li>\n\n\n\n<li>tickets de incidentes vinculados a logs y m\u00e9tricas,<\/li>\n\n\n\n<li>alertas sobre degradaci\u00f3n o fallo de proveedores.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">SLAs de Notificaci\u00f3n de Incidentes: Probados en la Realidad<\/h3>\n\n\n\n<p>Los auditores verifican que:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>los SLAs de notificaci\u00f3n de incidentes existen contractualmente,<\/li>\n\n\n\n<li>los procesos internos pueden recibir y actuar sobre las notificaciones,<\/li>\n\n\n\n<li>los plazos son realistas y han sido probados.<\/li>\n<\/ul>\n\n\n\n<p>A menudo solicitan ejemplos de incidentes pasados, marcas de tiempo que muestren los retrasos en las notificaciones, y evidencia de escalada y respuesta. Un SLA que nunca se ha ejercido se considera <strong>no probado<\/strong>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Estrategia de Salida y Resiliencia<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 esperan los auditores<\/h3>\n\n\n\n<p>Las estrategias de salida deben ser <strong>realistas y probadas<\/strong>. Los auditores cuestionar\u00e1n si existen planes de salida, si se aplican a los proveedores cr\u00edticos y si alguna vez han sido probados.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Evidencias a proporcionar<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Estrategias de salida documentadas por proveedor cr\u00edtico<\/li>\n\n\n\n<li>Evidencia de pruebas de salida o fallback<\/li>\n\n\n\n<li>Resultados de pruebas DR \/ BCP que involucren dependencias de terceros<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Artefactos de evidencia t\u00edpicos<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Planes de salida y procedimientos de transici\u00f3n<\/li>\n\n\n\n<li>Informes de pruebas o resultados de ejercicios de simulaci\u00f3n<\/li>\n\n\n\n<li>Documentaci\u00f3n de sustituci\u00f3n de dependencias o fallback<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Auditor<\/h3>\n\n\n\n<p>Los auditores preguntan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\u00bfExisten estrategias de salida para proveedores cr\u00edticos?<\/li>\n\n\n\n<li>\u00bfHan sido <strong>probadas<\/strong>?<\/li>\n\n\n\n<li>\u00bfPodr\u00eda salir realistamente bajo presi\u00f3n?<\/li>\n<\/ul>\n\n\n\n<p>Un plan de salida en PDF por s\u00ed solo es insuficiente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Visi\u00f3n del Ingeniero<\/h3>\n\n\n\n<p>Los ingenieros respaldan las estrategias de salida mediante:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>evitar la dependencia r\u00edgida de un \u00fanico proveedor,<\/li>\n\n\n\n<li>documentar rutas de sustituci\u00f3n o fallback,<\/li>\n\n\n\n<li>participar en pruebas de DR y salida.<\/li>\n<\/ul>\n\n\n\n<p>Implementaci\u00f3n t\u00edpica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>portabilidad de artefactos,<\/li>\n\n\n\n<li>reproducibilidad mediante infraestructura como c\u00f3digo,<\/li>\n\n\n\n<li>procedimientos de copia de seguridad y restauraci\u00f3n probados.<\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Calidad de la Evidencia: C\u00f3mo Juzgan los Auditores la Credibilidad<\/h2>\n\n\n\n<p>Los auditores eval\u00faan la evidencia seg\u00fan cuatro criterios impl\u00edcitos:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Objetividad<\/strong> \u2014 generada por el sistema, no editada manualmente<\/li>\n\n\n\n<li><strong>Trazabilidad<\/strong> \u2014 vinculada a un proveedor o control espec\u00edfico<\/li>\n\n\n\n<li><strong>Continuidad<\/strong> \u2014 producida de forma coherente a lo largo del tiempo<\/li>\n\n\n\n<li><strong>Integridad<\/strong> \u2014 protegida contra alteraciones<\/li>\n<\/ol>\n\n\n\n<p>La evidencia que no cumple alguno de estos criterios debilita todo el paquete. Las hojas de c\u00e1lculo manuales por s\u00ed solas raramente cumplen estos criterios.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Hallazgos Comunes en Auditor\u00edas del Art\u00edculo 28 (Se\u00f1ales de Alerta)<\/h2>\n\n\n\n<p>Los auditores elevan con frecuencia hallazgos cuando observan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>inventarios de proveedores no vinculados a herramientas CI\/CD,<\/li>\n\n\n\n<li>contratos sin aplicaci\u00f3n operacional,<\/li>\n\n\n\n<li>monitorizaci\u00f3n limitada a revisiones anuales,<\/li>\n\n\n\n<li>ausencia de pruebas sobre la visibilidad de subcontratistas,<\/li>\n\n\n\n<li>planes de salida que nunca han sido probados.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Situaci\u00f3n<\/th><th>Reacci\u00f3n del Auditor<\/th><\/tr><\/thead><tbody><tr><td>\u00abConfiamos en este proveedor SaaS\u00bb<\/td><td>\u274c No aceptable<\/td><\/tr><tr><td>Evidencia recopilada manualmente antes de la auditor\u00eda<\/td><td>\u26a0\ufe0f Control d\u00e9bil<\/td><\/tr><tr><td>Los logs existen pero no se conservan<\/td><td>\u274c No conforme<\/td><\/tr><tr><td>Plan de salida nunca probado<\/td><td>\u274c Hallazgo de alto riesgo<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p>Seg\u00fan la experiencia en auditor\u00edas, los paquetes de evidencias suelen fallar porque:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>las plataformas SaaS de CI\/CD quedan excluidas del alcance de proveedores<\/li>\n\n\n\n<li>existe evidencia pero no puede vincularse a un control<\/li>\n\n\n\n<li>los logs est\u00e1n disponibles pero no se conservan el tiempo suficiente<\/li>\n\n\n\n<li>los SLAs de incidentes existen pero nunca han sido probados<\/li>\n\n\n\n<li>las estrategias de salida est\u00e1n documentadas pero no tienen respaldo t\u00e9cnico real<\/li>\n<\/ul>\n\n\n\n<p>Estos problemas suelen surgir <strong>durante la auditor\u00eda<\/strong>, no durante la preparaci\u00f3n. Dise\u00f1ar la evidencia en los pipelines evita estas brechas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo la Arquitectura CI\/CD Habilita el Cumplimiento del Art\u00edculo 28<\/h2>\n\n\n\n<p>El cumplimiento moderno del Art\u00edculo 28 depende en gran medida de la arquitectura CI\/CD y en la nube:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>los pipelines aplican el acceso y las aprobaciones,<\/li>\n\n\n\n<li>los SBOMs proporcionan transparencia en la cadena de suministro,<\/li>\n\n\n\n<li>los logs y las pistas de auditor\u00eda generan evidencia autom\u00e1ticamente,<\/li>\n\n\n\n<li>los sistemas de monitorizaci\u00f3n detectan fallos de terceros.<\/li>\n<\/ul>\n\n\n\n<p>Sin evidencia a nivel de CI\/CD, el cumplimiento del Art\u00edculo 28 sigue siendo fr\u00e1gil.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Dise\u00f1ando para Ambas Perspectivas<\/h2>\n\n\n\n<p>Las organizaciones m\u00e1s maduras:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>dise\u00f1an controles <strong>una sola vez<\/strong>,<\/li>\n\n\n\n<li>satisfacen las necesidades de <strong>ambas<\/strong> partes: auditor\u00eda e ingenier\u00eda,<\/li>\n\n\n\n<li>generan evidencia continuamente a trav\u00e9s de plataformas CI\/CD y en la nube.<\/li>\n<\/ul>\n\n\n\n<p>Esta es la base del <strong>cumplimiento continuo<\/strong> bajo DORA.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclusi\u00f3n Final<\/h2>\n\n\n\n<p>DORA Art\u00edculo 28 no es un ejercicio de documentaci\u00f3n \u2014 es un <strong>problema de control operacional<\/strong>.<\/p>\n\n\n\n<p>Los paquetes de evidencias m\u00e1s s\u00f3lidos:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>integran CI\/CD, la nube y la gobernanza de proveedores,<\/li>\n\n\n\n<li>generan evidencia continuamente,<\/li>\n\n\n\n<li>alinean arquitectura, contratos y monitorizaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p>Si los auditores pueden verificar los controles sin depender de explicaciones, su postura respecto al Art\u00edculo 28 es s\u00f3lida.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Lecturas Relacionadas Recomendadas<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong><a href=\"https:\/\/regulated-devsecops.com\/ci-cd-security\/dora-article-28-architecture-third-party-ict-risk-controls-across-ci-cd-and-cloud\/\" data-type=\"post\" data-id=\"339\">DORA Article 28 Architecture \u2014 Explained<\/a><\/strong><\/li>\n\n\n\n<li><strong><a href=\"https:\/\/regulated-devsecops.com\/ci-cd-security\/continuous-compliance-via-ci-cd-pipelines\/\" data-type=\"post\" data-id=\"334\">Continuous Compliance via CI\/CD Pipelines<\/a><\/strong><\/li>\n\n\n\n<li><strong><a href=\"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/ci-cd-audit-red-flags-what-immediately-raises-auditor-concerns\/\" data-type=\"post\" data-id=\"264\">CI\/CD Audit Red Flags<\/a><\/strong><\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n    <section class=\"rds-author-box rds-author-box--audit\"\r\n             dir=\"ltr\" lang=\"es\"\r\n             style=\"border:1px solid rgba(100,116,139,.35);border-radius:14px;padding:16px 18px;margin:26px 0 18px;background:rgba(148,163,184,.08);\">\r\n      <strong style=\"margin:0 0 8px; font-size:14px; font-weight:700; letter-spacing:.02em;\">Contexto \u201caudit-ready\u201d<\/strong>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">Contenido pensado para entornos regulados: controles antes que herramientas, enforcement en CI\/CD y evidencia por dise\u00f1o para auditor\u00edas.<\/p>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">Enfoque en trazabilidad, aprobaciones, gobernanza de excepciones y retenci\u00f3n de evidencia de extremo a extremo.<\/p>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">\r\n        <a href=\"https:\/\/regulated-devsecops.com\/es\/es\/about\/\">Ver la metodolog\u00eda en la p\u00e1gina About.<\/a>\r\n      <\/p>\r\n    <\/section>\r\n    \n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>DORA Art\u00edculo 28 exige que las entidades financieras demuestren un control efectivo sobre los riesgos de terceros ICT. Este art\u00edculo proporciona un paquete de evidencias pr\u00e1ctico que cubre los cinco dominios clave de evidencia, con perspectivas tanto del auditor como del ingeniero.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[135,131,132],"tags":[],"post_folder":[],"class_list":["post-1930","post","type-post","status-publish","format-standard","hentry","category-regulatory-frameworks-es","category-audit-evidence-es","category-ci-cd-governance-es"],"_links":{"self":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/1930","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/comments?post=1930"}],"version-history":[{"count":0,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/1930\/revisions"}],"wp:attachment":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/media?parent=1930"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/categories?post=1930"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/tags?post=1930"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/post_folder?post=1930"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}