Evaluación de cumplimiento

Para qué sirve esta pantalla

Esta pantalla muestra un paquete de cumplimiento evaluado frente a las claves vivas de tu tenant: las activas, vencidas o suspendidas. Cada control y cada entrada del calendario de la versión del paquete aparece con su resultado y su motivo, agrupados por resultado, y las claves que nombra un resultado enlazan a su detalle. La evaluación no bloquea nada. Un elemento observable por la plataforma que se cumple no significa que el régimen se cumpla. Puedes descargarla como paquete de evidencias para un auditor.

Qué debe existir antes

El permiso de lectura de la analítica de tu tenant muestra la pantalla. El paquete debe ser uno que incluya la licencia del despliegue; si no, no se evalúa y la pantalla lo muestra bloqueado (más abajo).

Decisiones que tomas aquí

Leer los resultados

Fallido: tus claves no cumplen el elemento. Las claves que nombra son las que debes cambiar, por ejemplo rotándolas a otro algoritmo o fijando una fecha de vencimiento.
Advertencia: un hito del calendario se aplica a una clave y todavía no ha entrado en vigor. Se muestra el día efectivo. Una entrada con fecha falla a partir de su día efectivo, salvo una entrada acotada por una clase de riesgo, que sigue siendo una advertencia a ambos lados de su día y nunca falla.
Superado: el estado de la plataforma cumple el elemento.
Informativo: el régimen permite o recomienda algo que usan tus claves; no se exige nada.
No aplica: ninguna clave viva está afectada.
No evaluado: la plataforma no puede decidir el elemento a partir de su propio estado.

Leer los motivos

Los elementos declarados por el cliente nunca se evalúan: su evidencia está fuera de la plataforma. Una entrada acotada por una clase de riesgo, como en la hoja de ruta de la UE, sigue siendo una advertencia a ambos lados de su día, porque clasificar tus casos de uso le corresponde a tu organización.

Una entrada del calendario se aplica a una clave cuando el algoritmo propio de la clave está en la lista y su propósito, cifrado o firma, está en el ámbito de la entrada. Una clave compuesta nunca coincide con una entrada sobre uno de sus componentes.

Criptoperiodo

Los elementos de criptoperiodo fallan para cada clave viva sin fecha de vencimiento, o cuya fecha de vencimiento supera su criptoperiodo máximo, contado desde la creación del material actual de la clave: 24 meses para una clave simétrica, 36 meses para una clave de firma y 24 meses para una clave de establecimiento de claves. Una clave pública solo de verificación no tiene máximo. Las cifras proceden de NIST SP 800-57 Parte 1.

El plan de remediación propone la fecha de vencimiento que conviene fijar, o una rotación cuando la clave ya superó su criptoperiodo.

Plan de remediación

La pestaña Plan de remediación, junto a Evaluación y evidencias, convierte los elementos fallidos en acciones: la operación que corrige cada uno, quién se encarga y para cuándo. Nada se ejecuta hasta que previsualizas un paso y lo confirmas. El plan nunca destruye una clave ni vuelve a cifrar tus datos.

Claves que el catálogo no resuelve

Una clave cuyo algoritmo no se resuelve en ningún catálogo aparece aparte. Un elemento que se superaría con una de esas claves en su población se muestra como no evaluado, y el paquete aparece Incompleto, sin puntuación, hasta que no quede ninguna de esas claves. Un control que no pudo evaluarse aparece con su motivo y no entra en la puntuación, por lo que una puntuación nunca significa que se superaron todos los controles.

Leer la tendencia

La tendencia muestra la puntuación guardada cada día por la instantánea diaria. Un cambio de versión del paquete se ve el día en que ocurrió. Los días en que la licencia no incluía el paquete se dibujan como una banda atenuada y se listan como Sin evaluar: licencia inactiva, con su primer y su último día. Nunca se completan después. Un día sin barra ni banda es un día en que no se almacenó nada, por ejemplo porque la instantánea diaria no se ejecutó.

Un paquete no incluido en tu licencia

Cuando la licencia del despliegue no incluye el paquete, la pantalla lo muestra bloqueado, con la etiqueta No incluido en tu licencia, su descripción y sus controles, sin evaluación y sin paquete de evidencias. La evidencia ya emitida para él se sigue verificando; no se puede emitir evidencia nueva. Contacta con el administrador de la plataforma para que lo añada a la licencia. Ver el plan de remediación abre su plan, en solo lectura, y la tendencia de abajo conserva el historial registrado mientras el paquete tenía licencia.

Descargar el paquete de evidencias

Descargar paquete de evidencias guarda un archivo ZIP para entregar a tu auditor. Contiene:

report.pdf: esta evaluación como informe para que la lean personas.
evidence.jose.json: la evidencia firmada por el despliegue con ML-DSA-65. Es el archivo de referencia.
cbom.cdx.json: la lista de las claves vivas de tu tenant y sus algoritmos, en CycloneDX para herramientas de inventario.
verification-keys.json: las claves públicas con las que el auditor comprueba la firma sin conexión.
README.txt y SHA256SUMS: qué es cada archivo, cómo verificar el paquete y las sumas de comprobación.

La evidencia firmada lleva la huella del informe, así que la misma firma cubre también el informe. El informe y el README están en el idioma actual de la consola, inglés o español. Los títulos de los paquetes y los enunciados de los controles se mantienen en inglés.

El paquete se genera al descargarlo y no se conserva; cada descarga es un paquete nuevo, registrado en tu registro de auditoría. La consola lo guarda tal como lo envió el servidor.

Si la descarga falla, el problema se muestra junto al botón con un reintento. Un tenant con demasiadas claves vivas para un solo paquete se rechaza por tamaño excesivo. El servicio prepara un paquete cada vez; cuando está ocupado con otro, la consola muestra cuántos segundos pidió esperar el servidor antes de volver a intentarlo.

Descargar los archivos por separado

El paquete es la descarga que se entrega a un auditor. Debajo, Archivos individuales ofrece dos de sus archivos por separado, para un auditor que los pida así:

Descargar evidencia firmada guarda solo la evidencia firmada, compliance-evidence-<packId>-<day>.jose.json.
Descargar claves de verificación guarda las claves públicas de verificación del despliegue, compliance-evidence-verification-keys-<installationId>.json.

El paquete ya trae ambos. Entrega las claves de verificación al auditor por un canal distinto al de la evidencia: una clave que llega con la evidencia no puede probar quién la emitió. Si una descarga falla, el problema se muestra con el detalle del servidor y Reintentar. Ambas descargas necesitan el mismo permiso que el paquete.

Integridad del historial

En el paquete NIST CSWP 39, el elemento de integridad de la evidencia falla con El historial de evaluaciones almacenado no supera la verificación cuando un historial almacenado de tu tenant deja de verificarse, y no aplica con Todavía no hay ningún historial de evaluaciones almacenado antes de la primera instantánea diaria. Un tenant sin ninguna clave viva sigue viendo este elemento, pero no cuenta para la puntuación, que queda en Sin puntuación.

Cómo se relaciona con otras pantallas

Evaluaciones de cumplimiento lista cada paquete evaluado, Paquete de cumplimiento muestra la definición del paquete, Inventario de claves abre una clave que nombra la evaluación, y Plan de remediación convierte los hallazgos en acciones.

Dónde leer más

Estas páginas están en inglés: