Trabajar un plan de remediación y atestiguarlo

Convierte los elementos que fallan de un paquete de cumplimiento en trabajo: previsualiza y ejecuta los pasos que corrigen tus claves, registra quién es responsable de cada acción y para cuándo, y atestigua los elementos que la plataforma no puede medir.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant. Cualquiera que pueda leer la analítica del tenant ve el plan, sus vistas previas, sus ejecuciones y sus atestaciones; cambiar una acción, ejecutar un paso y registrar una atestación necesitan el permiso de escritura de remediación, y sin él esos controles no se muestran. Ejecutar un paso también necesita el permiso propio del paso, como rotar o crear claves. Registrar una aceptación del riesgo es solo para los administradores del tenant.

Antes de empezar

• La licencia del despliegue incluye el paquete. Un paquete que ya no incluye conserva su plan, en modo de solo lectura.
• El plan nunca destruye, archiva, elimina ni suspende una clave, y nunca vuelve a cifrar ni a firmar tus datos: tus aplicaciones mueven sus datos cuando lo deciden. No se ejecuta nada hasta que previsualizas un paso y lo confirmas.

Pasos

1. Abre Evaluación de cumplimiento, selecciona Ver detalle y plan en el paquete y luego la pestaña Plan de remediación. El resumen muestra Puntuación hoy, Al completar el plan, Avance y Próxima fecha límite, y las acciones se agrupan como Automática, Guiada y Decisión.
2. En una acción, selecciona Abrir la acción.
3. En Pasos, selecciona Previsualizar en el paso que quieras. La vista previa no cambia nada: lista las claves página por página, con el algoritmo actual de cada clave, el destino y el vencimiento propuestos, y por qué una clave no se puede cambiar. Donde una acción ofrece dos opciones, rotar la clave o crear una clave sucesora y luego revocar la reemplazada, cada opción indica a cuántas claves se aplica.
4. Donde la vista previa lista Conflictos con otros paquetes licenciados, marca cada uno para reconocerlo.
5. Selecciona el botón de confirmación, que muestra sobre cuántas claves se ejecuta el paso. Después, el diálogo muestra el resultado de cada clave y El plan ahora, con el Estado de la acción y la Puntuación del paquete.
6. En Seguimiento, establece el Responsable, la Fecha objetivo y el Estado, y selecciona Guardar seguimiento. Un administrador del tenant puede registrar una Aceptación del riesgo con su Motivo y su fecha Aceptado hasta, como máximo un año después, con Registrar la aceptación del riesgo.
7. Para un elemento que la plataforma no puede medir, vuelve al plan y, en Elementos que atestiguas, selecciona Registrar atestación. Completa la Declaración, Atestiguado por, Evaluado el y Vence el, agrega de uno a diez enlaces en Evidencias, cada uno con el SHA-256 de aquello a lo que apunta, y selecciona Registrar.

Qué ves cuando funcionó

Un paso que se ejecutó informa cuántas claves movió y el resultado de cada clave: hecho, ya hecho, rechazado, fallido o resultado desconocido. Resultado desconocido significa que se envió una rotación y no llegó respuesta, así que puede haberse aplicado; una ejecución posterior vuelve a comprobar la clave. La acción muestra Resuelta en cuanto la evaluación deja de fallar el elemento: nunca se establece a mano, y un elemento resuelto que vuelve a fallar se reabre.

Una atestación se muestra junto a la puntuación y nunca la cambia. Cada ejecución y cada atestación se listan en el plan, y cada cambio se escribe en tu registro de auditoría.

Si falla

Sin la consola

Relacionado

• Plan de remediación: el resumen, los grupos y los estados.
• Acción de remediación: las vistas previas, la confirmación, el seguimiento y el control de la migración.
• Catálogo de remediación: qué corrección recibe cada tipo de control.
• Evaluar el tenant frente a un paquete de cumplimiento