Instrumento de consultoría para la administración de bases de datos

El alta de una cuenta de base de datos requiere una solicitud autorizada por el propietario de la información y queda registrada.

Evidencia solicitada: Solicitudes de alta autorizadas de los últimos seis meses.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las cuentas del personal que causa baja o cambia de función se deshabilitan dentro de un plazo máximo definido.

Evidencia solicitada: Procedimiento de baja, últimas bajas de personal y fecha real de deshabilitación de sus cuentas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Se realiza una revisión periódica de las cuentas activas que confirma que cada una sigue siendo necesaria y tiene un dueño identificado.

Evidencia solicitada: Acta de la última revisión de cuentas con la lista de cuentas revocadas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los privilegios se otorgan mediante roles definidos por función y no de manera directa al usuario.

Evidencia solicitada: Catálogo de roles con sus privilegios y consulta de privilegios otorgados directamente a usuarios.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las cuentas de aplicación operan con el privilegio mínimo necesario y no poseen privilegios de administración del motor.

Evidencia solicitada: Consulta de los privilegios efectivos de cada cuenta de aplicación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los cambios de privilegios quedan registrados con solicitante, autorizador y fecha, y se revisan con periodicidad definida.

Evidencia solicitada: Bitácora de otorgamiento y revocación de privilegios del último año y acta de su revisión.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las cuentas administrativas del motor son nominativas o su uso queda trazado hasta una persona identificable.

Evidencia solicitada: Lista de cuentas administrativas y descripción del mecanismo de trazabilidad de su uso.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El uso de privilegios administrativos se registra en una bitácora que el propio administrador no puede alterar ni borrar.

Evidencia solicitada: Configuración de la auditoría de sesiones privilegiadas y permisos sobre el destino de la bitácora.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El acceso administrativo se concede de forma temporal y acotada a una tarea específica, con revocación verificada al concluirla.

Evidencia solicitada: Registro de accesos elevados con vigencia declarada y fecha de revocación confirmada.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El perfil de contraseñas del motor impone longitud mínima, complejidad, vigencia y bloqueo por intentos fallidos.

Evidencia solicitada: Exportación del perfil de contraseñas configurado y cuentas a las que se aplica.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El acceso administrativo remoto a la base de datos exige autenticación multifactor o un mecanismo de fortaleza equivalente.

Evidencia solicitada: Configuración del mecanismo de autenticación reforzada y lista de cuentas cubiertas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las credenciales de conexión no aparecen en texto claro en el código fuente, los archivos de configuración ni las tareas programadas.

Evidencia solicitada: Revisión de archivos de configuración y de tareas programadas, y descripción del gestor de secretos utilizado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las áreas de memoria de la instancia están dimensionadas conforme a un criterio documentado que se revisa con periodicidad definida.

Evidencia solicitada: Documento de dimensionamiento y última revisión con los datos de uso que la sustentan.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los procesos de soporte de la instancia están vigilados y su detención inesperada genera una alerta con destinatario definido.

Evidencia solicitada: Configuración de las alertas y registro de las alertas emitidas en el último trimestre.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los indicadores de uso de memoria y de contención se registran y se conservan durante un periodo definido para el análisis de tendencia.

Evidencia solicitada: Histórico de métricas de memoria de al menos tres meses y política de retención de esas métricas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El crecimiento de los espacios de almacenamiento se monitorea con umbrales definidos que disparan una alerta antes de la saturación.

Evidencia solicitada: Configuración de los umbrales y registro del último aviso generado con su atención.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La distribución de los archivos de datos entre los volúmenes está documentada y responde a un criterio explícito de desempeño y aislamiento.

Evidencia solicitada: Mapa de archivos por volumen y documento con el criterio de asignación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un procedimiento documentado para ampliar o reorganizar estructuras de almacenamiento sin interrumpir el servicio.

Evidencia solicitada: Procedimiento vigente y registro de la última ampliación ejecutada con su tiempo de afectación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El registro de transacciones opera en un modo que permite la recuperación al punto en el tiempo exigido por el RPO comprometido para cada base.

Evidencia solicitada: Configuración del modo de registro por instancia y tabla de RPO comprometidos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los archivos del registro de transacciones se escriben en una ubicación distinta de la de los archivos de datos.

Evidencia solicitada: Rutas configuradas en la instancia y evidencia de la separación física o lógica de los volúmenes.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La depuración de los registros de transacciones se rige por una política de retención autorizada y solo se ejecuta sobre registros ya respaldados.

Evidencia solicitada: Política de retención del registro y bitácora de depuraciones con la verificación previa de respaldo.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe una proyección de capacidad de almacenamiento, memoria y procesamiento con un horizonte de al menos doce meses.

Evidencia solicitada: Documento de proyección fechado, con los supuestos de crecimiento declarados.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Cada umbral de capacidad tiene un responsable asignado y una ruta de escalamiento definida para cuando se supera.

Evidencia solicitada: Matriz de umbrales con responsables y registro de los escalamientos ocurridos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las decisiones de ampliación de capacidad se sustentan en datos históricos de uso y quedan registradas con su autorización.

Evidencia solicitada: Expediente de la última ampliación con los datos de uso que la justificaron.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe una línea base de configuración segura del motor, aprobada formalmente y aplicada a toda instancia nueva.

Evidencia solicitada: Documento de línea base aprobado y reporte de conformidad de las instancias en operación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las cuentas por omisión, los esquemas de ejemplo y los servicios no requeridos se deshabilitan o eliminan antes de poner la instancia en producción.

Evidencia solicitada: Lista de verificación del aseguramiento firmada y consulta de cuentas y servicios activos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El software del motor y sus actualizaciones se obtienen de fuentes autorizadas y se verifica su integridad antes de instalarlos, con registro del responsable.

Evidencia solicitada: Procedimiento de instalación, lista de personal autorizado y bitácora de instalaciones con verificación de firma o suma de comprobación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Todo cambio en el esquema o en la configuración de la base de datos se solicita, autoriza y registra antes de aplicarse en producción.

Evidencia solicitada: Registro de cambios del último trimestre con solicitante, autorizador, fecha y resultado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Cada cambio cuenta con un plan de reversión documentado y probado antes de su aplicación en producción.

Evidencia solicitada: Planes de reversión de los últimos cambios y evidencia de su prueba en un ambiente previo.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los ambientes de desarrollo, pruebas y producción están separados y no comparten instancias, credenciales ni cuentas de servicio.

Evidencia solicitada: Inventario de instancias por ambiente y comparación de las cuentas existentes entre ellos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un proceso definido de identificación de vulnerabilidades del motor, con fuente de información suscrita y periodicidad de revisión establecida.

Evidencia solicitada: Procedimiento, constancia de la suscripción al boletín del fabricante y último reporte de vulnerabilidades.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los parches de seguridad se clasifican por criticidad y se aplican dentro de plazos máximos definidos y aprobados.

Evidencia solicitada: Política de plazos por criticidad y bitácora de parches con fecha de publicación y fecha de aplicación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Se ejecutan revisiones técnicas de cumplimiento sobre la configuración de la base de datos y sus hallazgos se remedian con seguimiento documentado.

Evidencia solicitada: Último informe de revisión técnica y estado de remediación de cada hallazgo.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El diseño físico de cada base de datos sigue principios de arquitectura segura documentados, incluidas la ubicación de los archivos y la separación de datos e índices.

Evidencia solicitada: Documento de diseño físico aprobado y esquema de distribución de archivos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La creación de bases de datos nuevas sigue un procedimiento formal con autorización previa y registro del resultado de la verificación contra la línea base.

Evidencia solicitada: Solicitudes de creación autorizadas y bitácora de bases creadas en el último año.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los parámetros de inicialización de cada instancia están documentados y sus desviaciones respecto a la línea base están justificadas y autorizadas.

Evidencia solicitada: Exportación de los parámetros vigentes y registro de desviaciones con su justificación.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe una política de respaldo que define alcance, frecuencia, retención, RPO y RTO por base de datos.

Evidencia solicitada: Política de respaldo autorizada con la tabla de parámetros por base de datos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La ejecución de cada respaldo se verifica de forma automática y las fallas generan una alerta con atención registrada.

Evidencia solicitada: Bitácora de respaldos del último mes con resultado y evidencia de la atención de las fallas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe al menos una copia de respaldo cifrada y resguardada en una ubicación distinta de la de la base de datos original.

Evidencia solicitada: Ubicación del resguardo externo, contrato o convenio que lo respalda y configuración de cifrado de los respaldos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Se realizan pruebas de restauración completas con periodicidad definida y su resultado queda documentado.

Evidencia solicitada: Informe de la última prueba de restauración con los tiempos obtenidos y el responsable de la ejecución.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un plan de continuidad para las bases de datos con roles asignados, secuencia de recuperación y criterios de activación.

Evidencia solicitada: Plan de continuidad vigente y acta del último ejercicio realizado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los tiempos de recuperación obtenidos en las pruebas se comparan contra el RTO comprometido y las desviaciones generan acciones con seguimiento.

Evidencia solicitada: Comparativo entre RTO comprometido y RTO real, con las acciones derivadas y su estado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La arquitectura de alta disponibilidad está documentada y su nivel de redundancia corresponde a la criticidad declarada de cada base de datos.

Evidencia solicitada: Diagrama de arquitectura y matriz que cruza criticidad con nivel de redundancia.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El estado y el retraso de la replicación se monitorean con umbrales que generan alerta ante una desincronización.

Evidencia solicitada: Tablero o configuración de alertas de retraso de replicación y registro del último incidente detectado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La conmutación al nodo secundario se prueba con periodicidad definida y su resultado queda documentado.

Evidencia solicitada: Bitácora de pruebas de conmutación con fecha y tiempo de indisponibilidad observado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los datos clasificados como sensibles están cifrados en reposo con un algoritmo y una longitud de llave vigentes.

Evidencia solicitada: Inventario de objetos cifrados y configuración del algoritmo empleado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las conexiones a la base de datos viajan cifradas en la red, incluidas las de administración y las de respaldo.

Evidencia solicitada: Configuración del cifrado en tránsito y captura de verificación del canal.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las llaves criptográficas tienen un ciclo de vida definido con custodio designado, resguardo separado del dato cifrado y periodicidad de rotación.

Evidencia solicitada: Procedimiento de gestión de llaves y registro de la última rotación ejecutada.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los datos productivos que se copian a ambientes de prueba se enmascaran o se sustituyen antes de ponerse a disposición de los usuarios de ese ambiente.

Evidencia solicitada: Procedimiento de enmascaramiento y muestra del resultado obtenido en el ambiente de prueba.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El uso de datos productivos para pruebas requiere autorización del propietario de la información y queda registrado con su vigencia.

Evidencia solicitada: Autorizaciones de las últimas copias hacia ambientes no productivos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los ambientes no productivos aplican controles de acceso equivalentes a los de producción sobre los datos que conservan.

Evidencia solicitada: Comparación de cuentas y privilegios entre el ambiente de producción y el de pruebas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe una política de retención por tipo de dato que define el plazo de conservación y el momento de la eliminación o el archivado.

Evidencia solicitada: Política de retención autorizada con su tabla de plazos por tipo de registro.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los datos personales contenidos en la base están identificados y su tratamiento cumple los requisitos legales aplicables.

Evidencia solicitada: Inventario de tablas y columnas con datos personales y aviso de privacidad vinculado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La eliminación de datos y el retiro de medios de almacenamiento se ejecutan por un método que impide su recuperación y dejan constancia registrada.

Evidencia solicitada: Procedimiento de borrado seguro y constancias de destrucción de los medios retirados.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe una política de seguridad de la información aprobada por la dirección que trata de manera explícita la administración de bases de datos y se revisa al menos una vez al año.

Evidencia solicitada: Política vigente con firma de aprobación, acta de la dirección y registro de la última revisión.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las responsabilidades de propiedad, custodia y administración de cada base de datos están asignadas nominalmente y documentadas.

Evidencia solicitada: Matriz de responsabilidades o descripciones de puesto donde consten los nombres y las bases asignadas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las funciones de desarrollo, administración de la base de datos y revisión de sus registros de auditoría están segregadas entre personas distintas.

Evidencia solicitada: Organigrama del área y comparación de las cuentas asignadas a cada función.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un inventario actualizado de las bases de datos en operación que registra motor, versión, responsable y clasificación de la información contenida.

Evidencia solicitada: Inventario con fecha de última actualización y criterio de clasificación aplicado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Se ha realizado una evaluación de riesgos de las bases de datos que identifica amenazas, probabilidad e impacto sobre la integridad, la confidencialidad y la disponibilidad.

Evidencia solicitada: Matriz de riesgos fechada, con la metodología y las escalas de valoración declaradas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Cada riesgo tratado o aceptado cuenta con un plan con responsable asignado, fecha compromiso y seguimiento registrado.

Evidencia solicitada: Plan de tratamiento con el estado de cada riesgo y acta de aceptación del riesgo residual.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El personal a cargo de las bases de datos tiene competencias definidas por puesto y evidencia de formación o certificación vigente.

Evidencia solicitada: Perfil de puesto, plan de capacitación y constancias del último año.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los procedimientos operativos de la base de datos están documentados, versionados y disponibles para quien debe ejecutarlos.

Evidencia solicitada: Repositorio de procedimientos con control de versiones y fecha de última revisión.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El intercambio de información de la base de datos con terceros está regulado por acuerdos que definen el medio, el cifrado y las responsabilidades de cada parte.

Evidencia solicitada: Acuerdos de intercambio firmados y registro de las transferencias realizadas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un monitoreo continuo de la disponibilidad y el desempeño de la base de datos, con alertas configuradas y destinatario definido.

Evidencia solicitada: Herramienta de monitoreo, catálogo de alertas y cobertura de instancias vigiladas.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Se han definido indicadores de desempeño con meta, responsable y periodicidad de medición, y se reportan a la dirección.

Evidencia solicitada: Tablero de indicadores con meta, valor actual y último reporte entregado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Las consultas de mayor consumo se identifican periódicamente y se optimizan con seguimiento de la mejora obtenida.

Evidencia solicitada: Informe de consultas críticas y comparativo de tiempos antes y después de la optimización.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

La auditoría del motor está habilitada y registra al menos los accesos a datos sensibles, los cambios de privilegios y los intentos de conexión fallidos.

Evidencia solicitada: Configuración de la auditoría y muestra de los eventos efectivamente registrados.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los registros de auditoría se revisan con periodicidad definida y cada revisión deja constancia escrita con sus hallazgos.

Evidencia solicitada: Actas de revisión de bitácoras del último semestre con los hallazgos y su seguimiento.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los relojes de los servidores de base de datos están sincronizados contra una fuente de tiempo única y verificada.

Evidencia solicitada: Configuración del servicio de tiempo y verificación del desfase observado.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Existe un procedimiento de gestión de incidentes que define roles, clasificación por severidad y tiempos de respuesta para los eventos de base de datos.

Evidencia solicitada: Procedimiento vigente y matriz de clasificación con los tiempos comprometidos.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El personal conoce el canal por el que debe reportar un evento sospechoso en la base de datos y los reportes quedan registrados.

Evidencia solicitada: Constancia de difusión del canal de reporte y bitácora de eventos reportados.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los incidentes cierran con análisis de causa raíz, lecciones aprendidas y evidencia preservada bajo cadena de custodia.

Evidencia solicitada: Expediente del último incidente con la causa raíz determinada y el registro de custodia de la evidencia.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Los contratos con proveedores de servicios de base de datos incluyen requisitos de seguridad, niveles de servicio y condiciones de terminación.

Evidencia solicitada: Contrato vigente con su anexo de seguridad y de niveles de servicio.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

El desempeño y el cumplimiento de seguridad del proveedor se supervisan con evidencia periódica y con validación por parte de la organización.

Evidencia solicitada: Informes de servicio recibidos y minutas de seguimiento del último año.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

Para los servicios de base de datos en la nube están definidas la matriz de responsabilidad compartida, la ubicación de los datos y el mecanismo de recuperación al terminar el servicio.

Evidencia solicitada: Matriz de responsabilidad compartida firmada y cláusula contractual de portabilidad o salida.

Este control quedó marcado como «no aplica» y sale del cálculo de cumplimiento. Escriba en el hallazgo la justificación de la exclusión (ISO/IEC 27001, cl. 6.1.3).

¿Quién autoriza el alta de una cuenta nueva en la base de datos y dónde queda constancia de esa autorización?

¿Cuánto tiempo transcurrió entre la última baja de personal y la deshabilitación efectiva de su cuenta en la base de datos?

¿Cuándo se revisaron por última vez las cuentas activas de la base de datos y cuántas se dieron de baja como resultado?

¿Qué roles existen, qué privilegios agrupa cada uno y cuántos usuarios tienen privilegios asignados fuera de un rol?

¿Con qué cuenta se conecta la aplicación a la base de datos y qué privilegios exactos tiene esa cuenta hoy?

¿Cómo se registra el otorgamiento de un privilegio y quién verifica después que ese otorgamiento siga siendo necesario?

¿Quiénes conocen la contraseña de la cuenta administrativa del motor y cómo se determina quién la usó en una fecha dada?

¿Dónde se escribe la bitácora de las sesiones administrativas y qué impide que un administrador la modifique?

¿Cómo se otorga un acceso administrativo temporal, por cuánto tiempo se concede y quién confirma que se revocó?

¿Qué longitud mínima, qué vigencia y cuántos intentos fallidos tiene configurado el perfil de contraseñas del motor?

¿Qué segundo factor se solicita para administrar la base de datos desde fuera de la red interna y a qué cuentas cubre?

¿Dónde está guardada la contraseña con la que la aplicación se conecta a la base de datos y quién puede leerla?

¿Con qué criterio se dimensionó la memoria de la instancia y cuándo se revisó ese cálculo por última vez?

¿Qué ocurre y a quién se avisa cuando se detiene un proceso de soporte de la instancia fuera del horario laboral?

¿Dónde se guardan las métricas de memoria, cuánto tiempo se conservan y quién las revisa?

¿A qué porcentaje de ocupación avisa el sistema, a quién le llega ese aviso y cuándo se activó por última vez?

¿Cómo están repartidos los archivos de datos entre los volúmenes y qué criterio se siguió para ese reparto?

¿Cómo se amplía un espacio de almacenamiento saturado y cuánto tiempo de servicio se perdió la última vez que ocurrió?

¿En qué modo de registro opera cada base de datos y qué punto de recuperación garantiza ese modo?

¿Dónde se escriben los archivos de registro y qué se perdería si desapareciera el volumen de los archivos de datos?

¿Cuánto tiempo se conservan los registros de transacciones, quién autoriza su depuración y cómo se comprueba que ya fueron respaldados?

¿Hasta cuándo alcanza la capacidad actual según la última proyección y en qué supuestos de crecimiento se basa?

¿Quién recibe la alerta cuando se supera un umbral de capacidad y qué debe hacer en las primeras horas?

¿Cuál fue la última ampliación de capacidad, qué datos la justificaron y quién la autorizó?

¿Qué línea base de configuración se aplica al instalar una instancia nueva y quién verifica que quedó conforme a ella?

¿Qué cuentas y componentes por omisión se retiraron de la última instancia instalada y cómo se comprobó que ya no están activos?

¿De dónde se descarga el instalador del motor, cómo se comprueba su integridad y quién puede ejecutar la instalación en el servidor?

¿Cómo se solicita y se autoriza un cambio en producción, y quién puede aplicarlo fuera de ese flujo cuando hay una urgencia?

¿Cuál fue el último cambio que hubo que revertir, cuánto tardó la reversión y con qué plan se ejecutó?

¿En qué servidores viven desarrollo, pruebas y producción, y qué credenciales o servicios comparten hoy entre sí?

¿Por qué medio se entera el equipo de una vulnerabilidad nueva del motor y con qué frecuencia se revisa esa fuente?

¿Cuál es el plazo máximo comprometido para aplicar un parche crítico y cuánto se tardó realmente con el último que se aplicó?

¿Cuándo se hizo la última revisión técnica de la configuración, quién la ejecutó y cuántos hallazgos siguen abiertos hoy?

¿Qué criterios de diseño físico se aplicaron a la última base de datos creada y quién los aprobó?

¿Quién autoriza la creación de una base de datos nueva y cómo se registra que quedó conforme a la línea base?

¿Qué parámetros de la instancia se apartan de la línea base, quién autorizó cada desviación y por qué razón técnica?

¿Qué RPO y qué RTO están comprometidos para cada base de datos y quién los aprobó?

¿Cómo se entera el equipo de que un respaldo falló durante la noche y qué se hizo con la última falla registrada?

¿Dónde está físicamente la copia de respaldo más reciente fuera del sitio principal y cómo está protegida?

¿Cuándo fue la última prueba real de restauración y cuál fue el tiempo de recuperación obtenido?

¿Quién decide activar el plan de continuidad, con qué criterio y en qué orden se recuperan las bases de datos?

¿Qué diferencia hubo entre el RTO comprometido y el tiempo real de la última prueba, y qué se hizo con esa diferencia?

¿Qué bases operan con redundancia, de qué tipo, y qué criterio definió cuáles la tienen y cuáles no?

¿Cuánto retraso de replicación se considera aceptable, quién lo vigila y cuál fue el máximo observado en el último mes?

¿Cuándo se probó por última vez la conmutación al nodo secundario y cuánto tiempo estuvo el servicio fuera?

¿Qué columnas o espacios de datos están cifrados en reposo, con qué algoritmo y desde cuándo?

¿Cómo se verifica que ninguna conexión a la base de datos viaja sin cifrar, incluidas las tareas automáticas nocturnas?

¿Quién custodia las llaves de cifrado, dónde se resguardan y cuándo se rotaron por última vez?

¿Qué campos se enmascaran al copiar datos a pruebas, con qué herramienta y quién valida el resultado?

¿Quién autorizó la última copia de datos productivos a pruebas y por cuánto tiempo se autorizó conservarla?

¿Quién tiene acceso al ambiente de pruebas y en qué se diferencia esa lista de la de acceso a producción?