Informes de evaluación

En un informe de evaluación se resumen las evidencias seleccionadas que se recopilaron para una evaluación. También contiene enlaces a archivos PDF con datos sobre cada evidencia. El contenido específico, la organización y la nomenclatura de un informe de evaluación dependen de los parámetros que elija al generar el informe.

Los informes de evaluación le ayudan a seleccionar y recopilar las evidencias pertinentes para su auditoría. Sin embargo, no evalúan la conformidad de las evidencias en sí. En su lugar, Audit Manager se limita a proporcionar los datos de la evidencia seleccionada como un resultado que puede compartir con su auditor.

Contenido

• Descripción de la estructura de carpetas del informe de evaluación

• Navegación por un informe de evaluación

• Revisión de la secciones de un informe de evaluación

  • Portada

  • Página de información general

    • Resumen de informe

    • Resumen de la evaluación

  • Página del índice

  • Página de control

    • Resumen de control

    • Evidencia recopilada

  • Página de resumen de evidencias

  • Página de información sobre evidencias

• Validación de un informe de evaluación

• Recursos adicionales de

Descripción de la estructura de carpetas del informe de evaluación

Al descargar un informe de evaluación, Audit Manager genera una carpeta zip. Contiene su informe de evaluación y los archivos de evidencias relacionados en subcarpetas anidadas.

La carpeta zip se estructura como se indica a continuación:

• Carpeta de evaluación (ejemplo: myAssessmentName-a1b2c3d4): carpeta raíz.

  • Carpeta de informes de evaluación (ejemplo: reportName-a1b2c3d4e5f6g7): subcarpeta en la que se encuentran los archivos AssessmentReportSummary.pdf, digest.txt y README.txt.

    • Carpeta de evidencias por control (ejemplo: controlName-a1b2c3d4e5f6g): subcarpeta que agrupa los archivos de evidencias según el control relacionado.

      • Carpeta de evidencias por origen de datos (ejemplo: CloudTrail, Security Hub): subcarpeta que agrupa los archivos de evidencias por tipo de origen de datos.

        • Carpeta de evidencias por fecha (ejemplo: 2022-07-01): subcarpeta que agrupa los archivos de evidencias por fecha de recopilación de evidencias.

          • Archivos de evidencias: archivos que contienen datos sobre las evidencias individuales.

Navegación por un informe de evaluación

Para empezar, abra la carpeta zip y baje un nivel hasta la carpeta del informe de evaluación. Aquí encontrará el informe de evaluación en PDF y el archivo README.txt.

Puede revisar el archivo README.txt para comprender la estructura y el contenido de la carpeta zip. También proporciona información de referencia sobre las convenciones de nomenclatura de cada archivo. Esta información puede ayudarle a navegar directamente a una subcarpeta o a un archivo de evidencias si está buscando un elemento específico.

De lo contrario, para buscar evidencias y encontrar la información que necesita, abra el PDF del informe de evaluación. Esto le proporciona una visión general de alto nivel del informe y un resumen de la evaluación a partir de la cual se creó el informe.

A continuación, utilice el índice (TOC) para explorar el informe. Puede elegir cualquier control hipervinculado del índice para ir directamente a un resumen de ese control.

Cuando esté listo para revisar los datos de las evidencias de un control, puede hacerlo eligiendo el nombre de la evidencia con hipervínculos. En el caso de las evidencias automatizadas, el hipervínculo abre un nuevo archivo PDF con datos sobre esas evidencias. En el caso de las evidencias manuales, el hipervínculo lleva al bucket de S3 que contiene las evidencias.

sugerencia

La ruta de navegación situada en la parte superior de cada página muestra su ubicación actual en el informe de evaluación a medida que examina los controles y las evidencias. Seleccione el índice con el hiperenlace para volver al índice en cualquier momento.

Revisión de la secciones de un informe de evaluación

Utilice la siguiente información para obtener más datos sobre cada sección de un informe de evaluación.

nota

Si ve un guion (-) junto a cualquiera de los atributos de las siguientes secciones, esto indica que el valor de ese atributo es nulo o que no existe ningún valor.

• Portada

• Página de información general

• Página del índice

• Página de control

• Página de resumen de evidencias

• Página de información sobre evidencias

Portada

La portada incluye el nombre del informe de evaluación. También muestra la fecha y la hora en que se generó el informe, junto con el ID de cuenta del usuario que lo generó.

La portada tiene el siguiente formato. Audit Manager reemplaza los marcadores de posición por la información pertinente para su informe.

Assessment report name
Report generated on MM/DD/YYYY at HH:MM:SS AM/PM UCT by AccountID

Página de información general

La página de información general consta de dos partes: un resumen del informe en sí y un resumen de la evaluación sobre la que se informa.

Resumen de informe

En esta sección se resume el informe de evaluación.

Nombre	Descripción
Nombre del informe	El nombre del informe.
Descripción	Descripción que introduce el responsable de la auditoría al generar el informe.
Fecha de generación	Fecha en que se generó el informe. Se representa en formato de tiempo universal coordinado (UTC).
Total de controles incluidos	Número de controles que se incluyen en el informe y que han recopilado evidencias. Se trata de un subconjunto del número total de controles de la evaluación.
Cuentas de AWS incluidas	Número de Cuentas de AWS que se incluyen en el informe y que han recopilado evidencias. Se trata de un subconjunto del número total de Cuentas de AWS de la evaluación.
Selección del informe de evaluación	Número de elementos de evidencia que se seleccionan para su inclusión en el informe. Incluye el número total de problemas de control de la conformidad incluidos en el informe.

Resumen de la evaluación

Esta sección resume la evaluación a la que se refiere el informe.

Nombre	Descripción
Nombre de la evaluación	Nombre de la evaluación a partir de la cual se generó el informe.
Status	Estado de la evaluación en el momento en que se generó el informe.
Región de la evaluación	La Región de AWS en la que se creó la evaluación.
Cuentas de AWS incluidas	Lista de Cuentas de AWS incluidas en la evaluación.
Nombre del marco	Nombre del marco a partir del cual se creó la evaluación.
Responsables de la auditoría	Usuario o rol de los responsables de la auditoría de la evaluación.
Última actualización	Fecha en la que se actualizó por última vez la evaluación. La hora se representa en UTC.

Página del índice

En el índice se muestra el contenido completo del informe de evaluación. El contenido se agrupa y organiza en función de los conjuntos de control que se incluyen en la evaluación. Los controles se enumeran debajo de su conjunto de controles respectivo.

Seleccione cualquier elemento del índice para ir directamente a esa sección del informe. Puede elegir un conjunto de controles o ir directamente a un control.

Página de control

La página de control consta de dos partes: un resumen del control en sí y un resumen de las evidencias recopiladas para el control.

Resumen de control

Esta sección incluye la siguiente información.

Nombre	Descripción
Nombre del control	Nombre del control.
Descripción	Descripción del control.
Conjunto de controles	Nombre del conjunto de controles al que pertenece el control.
Información de prueba	Procedimientos de prueba recomendados para este control.
Plan de acción	Acciones recomendadas para realizar si no se cumple el control.
Selección del informe de evaluación	Número de elementos de evidencia relacionados con este control incluidos en el informe de evaluación. Esto incluye el número de problemas de verificación de conformidad que se detectaron en las evidencias de este control.

Evidencia recopilada

En esta sección se muestran las evidencias recopiladas para el control. Las evidencias se agrupan en carpetas, que se organizan y nombran según la fecha de recolección de las mismas. Junto al nombre de cada carpeta de evidencias aparece el número total de problemas de verificación de conformidad relacionados con esa carpeta.

Debajo del nombre de cada carpeta de evidencias hay una lista de nombres de evidencias con hipervínculos.

• Los nombres de las evidencias automatizadas comienzan con una marca de tiempo de recopilación de evidencias, seguida del código de servicio, el nombre del evento (hasta 20 caracteres), el identificador de la cuenta y un identificador único de 12 caracteres.

  Por ejemplo: 21-30-24_IAM_CreateUser_111122223333_a1b2c3d4e5f6.

  En el caso de las evidencias automatizadas, el nombre del hipervínculo abre un nuevo archivo PDF con un resumen y más información.

• Los nombres de las evidencias manuales comienzan con una marca de tiempo de carga de las evidencias, seguida de la etiqueta manual, el identificador de cuenta y un identificador único de 12 caracteres. También incluyen los 10 primeros caracteres del nombre del archivo y la extensión del archivo (hasta 10 caracteres).

  Por ejemplo: 00-00-00_manual_111122223333_a1b2c3d4e5f6_myimage.png.

  Para evidencia manual, el nombre del hipervínculo lo lleva al bucket de S3 que contiene esa evidencia.

Junto al nombre de cada evidencia aparece el resultado de la comprobación de conformidad de ese elemento.

• En el caso de las evidencias automatizadas recopiladas de AWS Security Hub o AWS Config, se informa de un resultado Conforme, No conforme o No concluyente.

• En el caso de las evidencias automatizadas recopiladas a partir de las llamadas a la API y AWS CloudTrail, y de todas las evidencias manuales, se muestra un resultado de No concluyente.

Página de resumen de evidencias

La página de resumen de evidencias incluye la siguiente información.

Nombre	Descripción
ID	Identificador único de la evidencia.
Fecha de recopilación	Fecha en que se creó o cargó la evidencia.
Descripción	Descripción de la evidencia, incluidos el identificador de la cuenta y el tipo de origen de datos.
Nombre de la evaluación	Nombre de la evaluación a partir de la cual se generó el informe.
Nombre del marco	Nombre del marco a partir del cual se creó la evaluación.
Nombre del control	Nombre del control que respalda la evidencia.
Nombre del conjunto de controles	Nombre del conjunto de controles al que pertenece el control relacionado.
Descripción del control	Descripción del control que respalda la evidencia.
Información de prueba	Procedimientos de prueba recomendados para el control.
Plan de acción	Acciones recomendadas para realizar si no se cumple el control.
Región de AWS	Nombre de la región asociada con la evidencia.
ID de IAM	ARN del usuario o rol asociado a la evidencia.
Cuenta de AWS	ID de la Cuenta de AWS asociado a la evidencia.
Servicio de AWS	Nombre del Servicio de AWS asociado a la evidencia.
Nombre de evento	Nombre del evento de la evidencia.
Hora del evento	Hora de cuando se produjo el evento de evidencia.
Origen de datos	Lugar desde el que se recopiló o cargó la evidencia. El origen de datos puede ser AWS Config, centro de seguridad, llamadas a AWS API, CloudTrail o manual.
Evidencia por tipo	Categoría de la evidencia. Las evidencias de verificación de conformidad se recopilan en AWS Config o en nuestro centro de seguridad. Las evidencias relativas a la actividad del usuario se recopilan en los registros de CloudTrail. Las evidencias relativas a los datos de configuración se recopilan a partir de instantáneas de otros Servicios de AWS. Las evidencias manuales son aquellas que se cargan manualmente.
Estado de la comprobación de conformidad	Estado de la evaluación de la evidencia incluida en la categoría comprobación de conformidad. En el caso de las evidencias automatizadas recopiladas de AWS Security Hub o AWS Config, se informa de un resultado Conforme, No conforme o No concluyente. En el caso de las evidencias automatizadas recopiladas a partir de las llamadas a la API y AWS CloudTrail, y de todas las evidencias manuales, se muestra un resultado de No concluyente.

Página de información sobre evidencias

En la página de información sobre evidencias aparece el nombre de la evidencia y una tabla de datos de la misma. En esta tabla se proporciona un desglose detallado de cada elemento de la evidencia para que pueda entender los datos y validar que son correctos. Según el origen de datos de las evidencias, el contenido de la página de información sobre las evidencias variará.

sugerencia

La ruta de navegación en la parte superior de cada página muestra su ubicación actual a medida que explora los detalles de las evidencias. Seleccione Resumen de evidencias para volver al resumen de evidencias en cualquier momento.

Validación de un informe de evaluación

Al generar un informe de evaluación, Audit Manager genera una suma de comprobación del archivo de informe denominada digest.txt. Puede utilizar este archivo para validar la integridad del informe y asegurarse de que no se modificó ninguna evidencia después de la creación del informe. Contiene un objeto JSON con firmas y códigos hash que se invalidan si se modifica alguna parte del archivo del informe.

Para validar la integridad de un informe de evaluación, utilice la API ValidateAssessmentReportIntegrity proporcionada por Audit Manager.

Recursos adicionales de

Para encontrar respuestas a preguntas y problemas comunes, consulte Solución de problemas con el informe de evaluación en la sección Solución de problemas de esta guía.