Informes de evaluación

En un informe de evaluación se resumen las evidencias seleccionadas que se recopilaron para una evaluación. También contiene enlaces a archivos PDF con datos sobre cada evidencia. El contenido específico, la organización y la nomenclatura de un informe de evaluación dependen de los parámetros que elija al generar el informe.

Los informes de evaluación le ayudan a seleccionar y recopilar las evidencias pertinentes para su auditoría. Sin embargo, no evalúan la conformidad de las evidencias en sí. En su lugar, Audit Manager se limita a proporcionar los datos de la evidencia seleccionada como un resultado que puede compartir con su auditor.

Contenido

• Comprensión de la estructura de carpetas del informe de evaluación
• Navegar por un informe de evaluación
• Revisar las secciones de un informe de evaluación
  • Portada
  • Página de información general
    • Resumen de informe
    • Resumen de la evaluación
  • Página del índice
  • Página de control
    • Resumen de control
    • Evidencia recopilada
  • Página de resumen de evidencias
  • Página de información sobre evidencias
• Validar un informe de evaluación
• Recursos adicionales de

Comprensión de la estructura de carpetas del informe de evaluación

Al descargar un informe de evaluación, Audit Manager genera una carpeta zip. Contiene su informe de evaluación y los archivos de evidencias relacionados en subcarpetas anidadas.

La carpeta zip se estructura como se indica a continuación:

• Carpeta de evaluación (ejemplo: myAssessmentName-a1b2c3d4): carpeta raíz.

  • Carpeta de informes de evaluación (ejemplo:reportName-a1b2c3d4e5f6g7): subcarpeta en la que se encuentran los AssessmentReportSummary archivos.pdf, digest.txt y README.txt.

    • Carpeta de evidencias por control (ejemplo: controlName-a1b2c3d4e5f6g): subcarpeta que agrupa los archivos de evidencias según el control relacionado.

      • Carpeta de evidencias por origen de datos (ejemplo: CloudTrail, Security Hub): subcarpeta que agrupa los archivos de evidencias por tipo de origen de datos.

        • Carpeta de evidencias por fecha (ejemplo: 2022-07-01): subcarpeta que agrupa los archivos de evidencias por fecha de recopilación de evidencias.

          • Archivos de evidencias: archivos que contienen datos sobre las evidencias individuales.

Navegar por un informe de evaluación

Para empezar, abra la carpeta zip y baje un nivel hasta la carpeta del informe de evaluación. Aquí encontrará el informe de evaluación en PDF y el archivo README.txt.

Puede revisar el archivo README.txt para comprender la estructura y el contenido de la carpeta zip. También proporciona información de referencia sobre las convenciones de nomenclatura de cada archivo. Esta información puede ayudarle a navegar directamente a una subcarpeta o a un archivo de evidencias si está buscando un elemento específico.

De lo contrario, para buscar evidencias y encontrar la información que necesita, abra el PDF del informe de evaluación. Esto le proporciona una visión general de alto nivel del informe y un resumen de la evaluación a partir de la cual se creó el informe.

A continuación, utilice el índice (TOC) para explorar el informe. Puede elegir cualquier control hipervinculado del índice para ir directamente a un resumen de ese control.

Cuando esté listo para revisar los datos de las evidencias de un control, puede hacerlo eligiendo el nombre de la evidencia con hipervínculos. En el caso de las evidencias automatizadas, el hipervínculo abre un nuevo archivo PDF con datos sobre esas evidencias. En el caso de las evidencias manuales, el hipervínculo lleva al bucket de S3 que contiene las evidencias.

sugerencia

La ruta de navegación situada en la parte superior de cada página muestra su ubicación actual en el informe de evaluación a medida que examina los controles y las evidencias. Seleccione el índice con el hiperenlace para volver al índice en cualquier momento.

Revisar las secciones de un informe de evaluación

Utilice la siguiente información para obtener más datos sobre cada sección de un informe de evaluación.

nota

Si ve un guion (-) junto a cualquiera de los atributos de las siguientes secciones, esto indica que el valor de ese atributo es nulo o que no existe ningún valor.

• Portada

• Página de información general

• Página del índice

• Página de control

• Página de resumen de evidencias

• Página de información sobre evidencias

Portada

La portada incluye el nombre del informe de evaluación. También muestra la fecha y la hora en que se generó el informe, junto con el ID de cuenta del usuario que lo generó.

La portada tiene el siguiente formato. Audit Manager reemplaza los marcadores de posición por la información pertinente para su informe.

Assessment report name
Report generated on MM/DD/YYYY at HH:MM:SS AM/PM UCT by AccountID

Página de información general

La página de información general consta de dos partes: un resumen del informe en sí y un resumen de la evaluación sobre la que se informa.

Resumen de informe

En esta sección se resume el informe de evaluación.

Nombre	Descripción
Nombre del informe	El nombre del informe.
Descripción	La descripción que introduce el propietario de la auditoría al generar el informe.
Fecha de generación	Fecha en la que se generó el informe. Se representa en formato de tiempo universal coordinado (UTC).
Total de controles incluidos	El número de controles que se incluyen en el informe y que han recopilado pruebas. Se trata de un subconjunto del número total de controles de la evaluación.
Cuentas de AWS incluidos	El número de los Cuentas de AWS que están incluidos en el informe y han recopilado pruebas. Se trata de un subconjunto del número total de participantes Cuentas de AWS en la evaluación.
Selección del informe de evaluación	El número de elementos de evidencia que se seleccionan para su inclusión en el informe. Incluye el número total de problemas de control de la conformidad incluidos en el informe.

Resumen de la evaluación

Esta sección resume la evaluación a la que se refiere el informe.

Nombre	Descripción
Nombre de la evaluación	El nombre de la evaluación a partir de la cual se generó el informe.
Status	El estado de la evaluación en el momento en que se generó el informe.
Región de evaluación	En la Región de AWS que se creó la evaluación.
Cuentas de AWS en el ámbito	La lista de los Cuentas de AWS cuales se incluye en el ámbito de la evaluación.
Nombre del marco	Nombre del marco a partir del cual se creó la evaluación.
Propietarios de auditoría	El usuario o la función de los propietarios de la auditoría de la evaluación.
Última actualización	La fecha en la que se actualizó la evaluación por última vez. La hora se representa en UTC.

Página del índice

En el índice se muestra el contenido completo del informe de evaluación. El contenido se agrupa y organiza en función de los conjuntos de control que se incluyen en la evaluación. Los controles se enumeran debajo de su conjunto de controles respectivo.

Seleccione cualquier elemento del índice para ir directamente a esa sección del informe. Puede elegir un conjunto de controles o ir directamente a un control.

Página de control

La página de control consta de dos partes: un resumen del control en sí y un resumen de las evidencias recopiladas para el control.

Resumen de control

Esta sección incluye la siguiente información.

Nombre	Descripción
Nombre del control	Nombre del control.
Descripción	Descripción del control.
Conjunto de controles	El nombre del conjunto de controles al que pertenece el control.
Información de prueba	Los procedimientos de prueba recomendados para este control.
Plan de acción	Las acciones recomendadas a realizar si no se cumple el control.
Selección del informe de evaluación	El número de elementos de evidencia relacionados con este control que se incluyeron en el informe de evaluación. Esto incluye el número de problemas de verificación de conformidad que se detectaron en las evidencias de este control.

Evidencia recopilada

En esta sección se muestran las evidencias recopiladas para el control. Las evidencias se agrupan en carpetas, que se organizan y nombran según la fecha de recolección de las mismas. Junto al nombre de cada carpeta de evidencias aparece el número total de problemas de verificación de conformidad relacionados con esa carpeta.

Debajo del nombre de cada carpeta de evidencias hay una lista de nombres de evidencias con hipervínculos.

• Los nombres de las evidencias automatizadas comienzan con una marca de tiempo de recopilación de evidencias, seguida del código de servicio, el nombre del evento (hasta 20 caracteres), el identificador de la cuenta y un identificador único de 12 caracteres.

  Por ejemplo: 21-30-24_IAM_CreateUser_111122223333_a1b2c3d4e5f6

  En el caso de las evidencias automatizadas, el nombre del hipervínculo abre un nuevo archivo PDF con un resumen y más información.

• Los nombres de las evidencias manuales comienzan con una marca de tiempo de carga de las evidencias, seguida de la etiqueta manual, el identificador de cuenta y un identificador único de 12 caracteres. También incluyen los 10 primeros caracteres del nombre del archivo y la extensión del archivo (hasta 10 caracteres).

  Por ejemplo: 00-00-00_manual_111122223333_a1b2c3d4e5f6_myimage.png

  Para evidencia manual, el nombre del hipervínculo lo lleva al bucket de S3 que contiene esa evidencia.

Junto al nombre de cada evidencia aparece el resultado de la comprobación de conformidad de ese elemento.

• En el caso de las pruebas automatizadas recopiladas a partir de un resultado conforme AWS Config, no conforme AWS Security Hub o no concluyente, se informa de un resultado que cumpla con las normas, no lo cumpla o no sea concluyente.

• En el caso de las pruebas automatizadas recopiladas a partir de las llamadas a la API AWS CloudTrail y de todas las pruebas manuales, se muestra un resultado no concluyente.

Página de resumen de evidencias

La página de resumen de las pruebas incluye la siguiente información.

Nombre	Descripción
ID	El identificador único de la evidencia.
Fecha de recopilación	La fecha en que se creó o cargó la evidencia.
Descripción	Una descripción de las pruebas, incluidos el identificador de la cuenta y el tipo de fuente de datos.
Nombre de la evaluación	El nombre de la evaluación a partir de la cual se generó el informe.
Nombre del marco	Nombre del marco a partir del cual se creó la evaluación.
Nombre del control	El nombre del control que respaldan las pruebas.
Nombre del conjunto de controles	Nombre del conjunto de controles al que pertenece el control relacionado.
Descripción del control	La descripción del control que respaldan las pruebas.
Información sobre las pruebas	Los procedimientos de prueba recomendados para el control.
Plan de acción	Las acciones recomendadas a realizar si no se cumple el control.
Región de AWS	El nombre de la región asociada a la evidencia.
ID DE IAM	El ARN del usuario o rol asociado a la evidencia.
Cuenta de AWS	La Cuenta de AWS identificación asociada a la evidencia.
Servicio de AWS	El nombre del Servicio de AWS que está asociado a la evidencia.
Nombre de evento	El nombre del evento probatorio.
Hora del evento	La hora en que ocurrió el evento probatorio.
Origen de datos	Lugar desde el que se recopilaron o cargaron las pruebas. El tipo de fuente de datos puede ser Security Hub CloudTrail, llamadas a la AWS API o Manual. AWS Config
Evidencia por tipo	La categoría de las pruebas Las pruebas de verificación de conformidad se AWS Config recopilan en nuestro Security Hub. La evidencia de la actividad del usuario se recopila de CloudTrail los registros. La evidencia de los datos de configuración se recopila a partir de instantáneas de otros Servicios de AWS. Las evidencias manuales son aquellas que se cargan manualmente.
Estado de la comprobación de conformidad	El estado de evaluación de las pruebas incluidas en la categoría de control de conformidad. En el caso de las pruebas automatizadas recopiladas a partir de un resultado conforme AWS Config, no conforme AWS Security Hub o no concluyente, se informa de un resultado conforme, no conforme o no concluyente. En el caso de las pruebas automatizadas recopiladas a partir de las llamadas a la API AWS CloudTrail y de todas las pruebas manuales, se muestra un resultado no concluyente.

Página de información sobre evidencias

En la página de información sobre evidencias aparece el nombre de la evidencia y una tabla de datos de la misma. En esta tabla se proporciona un desglose detallado de cada elemento de la evidencia para que pueda entender los datos y validar que son correctos. Según el origen de datos de las evidencias, el contenido de la página de información sobre las evidencias variará.

sugerencia

La ruta de navegación en la parte superior de cada página muestra su ubicación actual a medida que explora los detalles de las evidencias. Seleccione Resumen de evidencias para volver al resumen de evidencias en cualquier momento.

Validar un informe de evaluación

Al generar un informe de evaluación, Audit Manager genera una suma de comprobación del archivo de informe denominada digest.txt. Puede utilizar este archivo para validar la integridad del informe y asegurarse de que no se modificó ninguna evidencia después de la creación del informe. Contiene un objeto JSON con firmas y códigos hash que se invalidan si se modifica alguna parte del archivo del informe.

Para validar la integridad de un informe de evaluación, utilice la ValidateAssessmentReportIntegrityAPI proporcionada por Audit Manager.

Recursos adicionales de

Para encontrar respuestas a preguntas y problemas comunes, consulta Solución de problemas con el informe de evaluación la sección de solución de problemas de esta guía.