La lliçó anterior va acabar assenyalant el que apareixia una vegada i una altra en aplicar el RGPD: RAT, contractes, registre de bretxes, informes de restauració, documents datats abans de l'incident. El Reglament en diu responsabilitat proactiva, NIS2 en diu avaluació de l'eficàcia, ISO 27001 en diu informació documentada i el client en diu «envia'm l'informe». Tots demanen el mateix: no n'hi ha prou d'estar segur, cal poder demostrar-ho. Aquesta lliçó construeix el sistema que ho fa possible sense que costi tres dies de pànic cada vegada: què fa vàlida una evidència, com es recull sola, com es completa la matriu de traçabilitat que arrosseguem des de 04-03, com es comporta un auditor de debò i què pregunta quan demana una mostra, i com es respon a una troballa sense discutir ni exagerar.

1. Estar segur i poder demostrar-ho són coses diferents
2. Què és una evidència i què la fa vàlida
3. La matriu de traçabilitat, en la seva forma final
4. Automatitzar la recollida d'evidències
5. Tipus d'auditoria: qui la fa i què s'hi juga
6. El procés d'una auditoria, pas a pas
7. Com es comporta un auditor i què pregunta de debò
8. Troballes i pla d'accions correctives
9. L'auditoria interna en una empresa de 38 persones
10. Auditoria tècnica davant d'auditoria de gestió
11. Els qüestionaris de clients com a auditoria de facto
12. Mètriques de compliment i les dues trampes

Dues organitzacions poden tenir exactament el mateix nivell de protecció real i resultats oposats davant d'un client, un auditor o l'AEPD. La diferència no és la seguretat: és el rastre.

D'aquest quadre en surten les dues afirmacions que estructuren la lliçó, i convé sostenir-les totes dues alhora perquè cadascuna corregeix l'excés de l'altra. El compliment sense seguretat és teatre: un certificat ISO 27001 sobre controls que ningú no verifica no va impedir cap de les bretxes de 02-06, i Equifax tenia programa de compliment amb el pedaç sense aplicar. La seguretat sense evidència no sobreviu: ni a una auditoria, ni a un qüestionari de client, ni a un canvi de responsable, ni a un expedient on la ponderació valora expressament la diligència; i tampoc no sobreviu a si mateixa, perquè sense registre ningú no sap si el control continua funcionant, que és la tesi de 06-01. Hi ha a més un argument de cost que sol convèncer qui veu el compliment com a burocràcia: l'evidència és més barata si es genera en fer la feina que si es reconstrueix després. Guardar la sortida de la prova de restauració costa zero minuts el dia que es fa la prova, i costa mitja jornada tres mesos després, quan cal recordar qui la va fer, buscar al xat i redactar un informe a posteriori que a més val menys perquè no és contemporani. L'auditoria no és cara: reconstruir és car.

Una evidència és qualsevol registre que permeti a un tercer raonable concloure que un control existeix i funciona: no és una afirmació, no és una captura solta i no és «ho fem sempre». Cinc atributs, i si en falten dos ja no és evidència:

Tipus d'evidència i exemples presos de tot el curs, complint la promesa de 05-07: el mòdul 5 no només va millorar la seguretat de Nimbus, va anar generant exactament el material que ara fa falta.

Dos criteris per no equivocar-se en triar. Prefereix sempre l'evidència que la màquina genera sola —una exportació, un registre, la sortida d'un escàner— davant de la que escriu una persona: la primera és reproduïble i difícil de maquillar. I el que separa els bons dels mediocres: l'evidència més valuosa és la que demostra que el control va detectar alguna cosa i es va corregir. Un informe de restauració impecable trimestre rere trimestre resulta sospitós; un que diu «va funcionar, però no recreava els rols nimbus_api i nimbus_informes, corregit el 25/06 i reverificat» demostra que la prova va ser real.

A 04-03 la vam esbossar com a eina de gestió de controls; aquí assoleix la seva forma definitiva, amb les dues columnes que faltaven —evidència i freqüència— i amb el mapatge a requisits de 06-02. És un sol document que respon a cinc preguntes: quin risc cobreixo, quina regla ho exigeix, què faig, com ho demostro i qui en respon.

I la seva versió com a dada, que permet generar informes, detectar caducitats i alimentar el quadre de comandament sense feina manual:

Per què mantenir-la al dia és més barat que reconstruir-la, amb un càlcul que la Marta pot portar a una reunió: mantenir-la costa uns 10 minuts per control i trimestre —anotar la data, enllaçar l'evidència, tancar la troballa—, unes 15 hores l'any per a 22 controls; reconstruir-la davant d'una auditoria o un client urgent costa 40-60 hores de la Marta i la Lucía en tres dies, amb material incomplet perquè hi ha evidència que ja no existeix: el registre va rotar, el xat es va purgar, la persona va marxar. I el que es reconstrueix a posteriori val menys davant d'un auditor precisament per no ser contemporani. La matriu al dia costa un terç i val el doble. Un detall d'implantació que canvia el resultat: viu al repositori, no en un full de càlcul a l'escriptori de ningú, amb control de versions, revisió en pull request i un script setmanal que avisa dels controls la ultima verificació dels quals ha superat la seva frequencia_dies.

La regla que fa sostenible tot l'anterior: si una evidència s'ha de recordar, no es generarà. Bona part es pot extreure sola:

La frontera és nítida i convé respectar-la: s'automatitza el que és un fet verificable; no s'automatitza el que és un judici o una decisió. Fingir el contrari produeix actes generades per un script que cap auditor no accepta i que, pitjor, fan que ningú no revisi res. Un recol·lector que segella el que recull:

Tres decisions de disseny fan que això valgui com a evidència i no com un munt de fitxers. El manifest de hashos dona integritat: qualsevol pot comprovar que el fitxer no ha canviat. La signatura dona atribució no repudiable, amb la mateixa infraestructura de 03-06 i 05-07. I l'emmagatzematge immutable amb Object Lock impedeix que algú —un atacant esborrant petjades, o algú amb pressa abans d'una auditoria— alteri l'històric. Fixa't a més que l'script acaba dient el que no pot fer: és la millor manera que la part humana no s'oblidi. L'efecte sobre l'auditoria és el que importa: quan l'auditor demana «l'evidència del control de xifratge dels últims dotze mesos», la resposta no és una cerca de tres dies, és un directori amb dotze carpetes datades, signades i verificables.

Tres observacions de gestió que estalvien disgustos. L'autoavaluació és la de més retorn i la que gairebé ningú no fa: descobrir un buit un mateix costa corregir-lo; descobrir-lo un auditor costa corregir-lo i explicar per què no ho sabies. L'auditoria de client és la més freqüent i la pitjor preparada: arriba amb dues setmanes d'avís, la fa algú que no coneix la teva arquitectura i s'hi juga la renovació, així que es prepara abans, amb el dossier de l'apartat 11. I la reguladora no es prepara: s'hi arriba preparat, perquè quan l'AEPD escriu el marge és de dies i només serveix el que ja existia i estava datat.

Dos punts decideixen el resultat. L'abast (pas 1) és la decisió més important i la menys discutida: defineix què s'audita i, sobretot, què queda fora. Massa estret, l'informe no serveix al client que el va demanar; massa ampli, dispara el cost i garanteix troballes irrellevants. Nimbus hauria de demanar abast sobre la plataforma SaaS de producció i els processos que la sostenen, excloent per escrit el que no toca dades de client. I el mostreig (pas 5) és on es veu si el sistema és real: l'auditor no revisa els 22 controls amb la mateixa profunditat, en tria uns quants i els persegueix fins al final. Per això un sistema que funciona suporta qualsevol mostra, i un de maquillat es trenca amb la segona pregunta.

El malentès més gran sobre les auditories és creure que consisteixen a revisar documents. Un auditor competent fa el contrari: pren una afirmació escrita, demana una mostra concreta i segueix el rastre fins al final, buscant el punt on el paper i la realitat divergeixen. Dues entrevistes simulades, amb el que l'auditor comprova a cada pregunta.

El que aquestes dues entrevistes ensenyen és transferible a qualsevol auditoria: l'auditor no busca perfecció, busca coherència entre l'escrit, el que la gent diu i el que el sistema mostra; la incoherència és la troballa. I una organització que reconeix les seves desviacions amb el seu registre i la seva correcció puntua millor que una altra que afirma no tenir-ne cap i és desmentida pel seu propi registre.

Com es respon a una troballa. Hi ha dues maneres de fer-ho malament i una de fer-ho bé. Discutir —intentar convèncer l'auditor que no és una troballa— perd temps i credibilitat llevat d'error de fet documentable, i de vegades provoca una revisió més profunda. Exagerar —acceptar-ho tot i prometre corregir-ho la setmana vinent— produeix accions sense tancar al seguiment, i una acció correctiva incomplerta és pitjor que la troballa original perquè qüestiona el sistema sencer. El correcte és comprendre exactament la troballa, repetint-la amb les pròpies paraules fins que l'auditor ho confirmi; aportar l'evidència que potser no es va trobar si existeix i està datada; acceptar el que és cert; i comprometre una correcció amb causa arrel, propietari i termini realista.

Plantilla d'acció correctiva:

Els dos elements que distingeixen un pla d'acció real són el 3 i el 5. Sense causa arrel es corregeix el símptoma i la troballa reapareix l'any següent amb un altre nom —signar dues actes endarrerides no hauria canviat res—. I sense verificació d'eficàcia en data futura, l'acció es declara tancada el dia que s'implanta, just quan encara no se sap si funciona. És la lògica de 04-05 i 05-03: sense retest no hi ha tancament.

ISO 27001 l'exigeix (clàusula 9.2) i NIS2 empeny en la mateixa direcció, però el seu valor és anterior a qualsevol norma: és l'única manera de saber com s'està abans que ho digui algú de fora. L'obstacle aparent és la independència, i n'hi ha prou amb la mínima viable: qui audita no audita el que executa. Amb cinc persones hi ha combinacions suficients:

Quan no hi ha independència possible —la Marta audita processos que ella mateixa aprova—, la solució honesta és contractar dos dies d'auditor extern l'any (1.500-2.500 €) per a aquesta part i declarar-ho a l'informe: amagar la falta d'independència és una troballa, declarar-la és una limitació d'abast acceptable.

I la plantilla d'informe, deliberadament curta:

L'apartat d'aspectes positius no és cortesia: un programa d'auditoria que només produeix males notícies deixa de ser benvingut, i llavors la gent comença a preparar la foto en lloc d'ensenyar la realitat.

Es confonen constantment, i confondre-les porta a creure que s'està cobert quan no s'hi està.

Totes dues són necessàries perquè fallen en llocs diferents. El pentest PT-2026-01 va trobar l'IDOR residual, que cap auditoria de gestió no hauria vist; i una auditoria de gestió va trobar que dos accessos marcats per revocar continuaven actius, que cap pentest no hauria mirat. Un sistema pot estar impecablement configurat i no tenir qui el mantingui; i pot tenir un SGSI exemplar sobre una infraestructura vulnerable. Precisió important: el pentest de 05-03 és una evidència, no una auditoria. Acredita el requisit de «verificació regular de l'eficàcia» —article 32.1.d del RGPD, clàusula 9 d'ISO 27001— i per això figura a l'última fila de la matriu de l'apartat 3. Presentar-lo com a auditoria de conformitat és un error que els auditors detecten immediatament i que deixa al descobert el que el pentest no mira: governança, contractes, formació, registres i decisions.

A 06-02 vam veure com respondre'ls amb honestedat; aquí, com industrialitzar-los, perquè són l'auditoria més freqüent que pateix una pime i la que pitjor escala: el primer costa 20 hores i el cinquè hauria de costar 3. El dossier de seguretat reutilitzable, mantingut per la Marta i revisat cada sis mesos:

El banc de respostes (faq.md) és el que produeix l'estalvi: cada pregunta respondida un cop, amb la seva redacció aprovada, la seva evidència associada i la seva data de revisió. En arribar un qüestionari nou, el 80 % es respon copiant. Regla de manteniment: cada resposta nova s'incorpora al banc el mateix dia, o l'estalvi no arriba mai. I un consell de negociació que estalvia setmanes: quan un client envia 90 preguntes clarament dissenyades per a un proveïdor d'una altra mida, oferir el dossier per avançat i preguntar què queda sense respondre sol reduir-lo a deu preguntes específiques; és més ràpid per a tots dos i transmet maduresa.

L'estat de cada control es classifica en quatre valors, i la definició estricta importa més que la mètrica: implantat (existeix, opera i està verificat dins de la seva freqüència), parcial (existeix però no cobreix tota la població, o la seva verificació està caducada), no implantat (decidit però no operatiu) i no aplicable (justificat per escrit, amb raó de negoci).

L'important no és el percentatge: és la regla de degradació. Un control verificat fora de la seva freqüència deixa automàticament de comptar com a implantat, sense que ningú ho hagi de decidir, de manera que el número baixa sol quan la feina s'abandona en lloc de quedar-se congelat al 100 % del dia que es va declarar acabada. És la tesi de 06-01 convertida en aritmètica. I les dues trampes que arruïnen un programa de compliment, totes dues subtils perquè semblen productivitat: Auditar només el que és fàcil d'evidenciar. Els controls que produeixen un informe bonic —xifratge, MFA, aplicació de pedaços— s'auditen sempre; els que no —la qualitat de la revisió d'accessos, si algú mira de debò les alertes, si el runbook serveix sota pressió— es donen per bons. El resultat és un quadre en verd amb els riscos pitjor coberts precisament on no hi ha focus. Antídot: incloure a cada cicle almenys un control «difícil» i provar-lo de debò —injectar una alerta i cronometrar la resposta, demanar a algú que executi un runbook sense ajuda—. Optimitzar per a l'auditoria en comptes de per al risc. És la degeneració clàssica: es tria el control que quedarà bé a l'informe, s'ajusta l'abast per excloure el que és problemàtic, es maquilla un termini. Tot és defensable per separat i el conjunt produeix un certificat sobre una empresa que no està protegida. Antídot: mantenir sempre dos indicadors separats i publicats junts —cobertura de compliment (aquest apartat) i risc residual (04-01)—. Quan el primer puja i el segon no baixa, alguna cosa s'està optimitzant per a la foto.

• Confondre tenir un control amb poder demostrar-lo. Les còpies existeixen, però sense informe de restauració datat no compleixes el 32.1.c ni el 32.1.d i, davant d'un auditor, no existeixen. I no reconstrueixis evidències abans de l'auditoria: costa tres vegades més, surt incompleta, no és contemporània i un auditor experimentat ho detecta per l'homogeneïtat sospitosa dels documents.
• Evidències en eines efímeres. El xat es purga, el correu se'n va amb la persona, el full de l'escriptori desapareix: l'evidència viu en un repositori amb retenció declarada. Tancar accions el dia que s'implanten i corregir el símptoma. Sense verificació d'eficàcia en data futura l'acció està ajornada, no tancada; i sense causa arrel la troballa torna amb un altre nom. Discutir amb l'auditor llevat d'error documentable perd credibilitat i guanya una revisió més profunda. I no lliuris l'informe complet de pentest a un client: és un mapa d'atac; es lliura el resum executiu i la confirmació de retest, sota confidencialitat.
• Consell: guarda l'evidència el dia que fas la feina. Costa zero minuts llavors i mitja jornada tres mesos després. És l'única regla d'aquesta lliçó que, aplicada sola, ja la rendibilitza.
• Consell: audita tu primer, i documenta també el que va funcionar. Descobrir un buit propi costa corregir-lo; descobrir-lo un tercer costa corregir-lo i explicar per què no ho sabies. I un informe que només porta males notícies deixa de ser benvingut: llavors la gent prepara la foto en lloc d'ensenyar la realitat.

Exercici 1 — Convertir afirmacions en evidències

La Marta ha escrit quatre afirmacions per respondre a un client: (1) «tots els nostres empleats reben formació en seguretat»; (2) «revisem periòdicament qui té accés a les dades dels clients»; (3) «les nostres còpies de seguretat són immutables i estan provades»; (4) «detectem accessos anòmals a les dades dels nostres clients». Per a cadascuna, indica quina evidència concreta la sostindria, si és automatitzable o requereix judici humà, amb quina freqüència s'ha de generar i quina pregunta faria un auditor per posar-la a prova.

Exercici 2 — Una troballa i la seva acció correctiva

A l'auditoria interna de setembre, l'auditor extern demana una mostra de sol·licituds d'accés de la consultora (A-19) de l'últim trimestre. Troba onze sessions registrades però només set sol·licituds amb autorització prèvia: les altres quatre es van executar i van quedar registrades, sense rastre de qui les va autoritzar. La Lucía explica que van ser incidències urgents de cap de setmana i que ella les va autoritzar verbalment. Classifica la troballa justificant-ne el tipus, redacta l'acció correctiva completa amb les sis seccions de la plantilla, i explica per què «d'ara endavant la Lucía enviarà un correu de confirmació» seria insuficient.

Exercici 3 — Dissenyar el cicle d'auditoria interna que més dol

Nimbus només pot dedicar 6 hores a un cicle d'auditoria interna, i la Marta vol que sigui el que més informació aporti sobre el risc real, no el que produeixi l'informe més lluït. Tria l'àmbit, digues quins controls auditaries, com provaries cadascun de debò (no revisant documents), quina mostra demanaries i què esperaries trobar. Justifica per què aquest àmbit i no un altre.

Exercici 1

La lliçó transversal: les quatre afirmacions són certes en moltes empreses i cap no és demostrable sense l'artefacte de la segona columna. I en tres de les quatre la pregunta de l'auditor apunta al mateix lloc: no a que el control existeixi, sinó a que s'hagi provat i que la mostra difícil —l'empleat nou, l'accés retirat, l'alerta que mai no va saltar— també estigui coberta. La quarta és la més fràgil: un catàleg de deteccions que mai no ha disparat és indistingible d'un que no funciona.

Exercici 2

Classificació: no-conformitat MENOR, amb argument per considerar-la major. És menor perquè el control existeix, està definit a POL-08 6.2.3, s'aplica en 7 d'11 casos i la resta va quedar registrada, així que no hi ha fallada sistèmica. L'argument per elevar-la és seriós: afecta R-01, el risc pitjor puntuat, i el vector exacte de l'incident de 02-06 va ser l'accés no controlat d'aquesta mateixa consultora; un auditor rigorós podria sostenir que un control que falla el 36 % de les vegades sobre el risc crític no està operatiu. La resposta correcta no és discutir la classificació, sinó tractar-la amb la serietat d'una de major.

Per què «la Lucía enviarà un correu de confirmació» és insuficient, i el raonament val per a gairebé qualsevol troballa: (1) no ataca la causa arrel —el problema no és que la Lucía s'oblidi d'escriure, és que no hi ha un camí autoritzat per a la urgència i el sistema permet la drecera—; (2) manté el control com a procedimental, és a dir, dependent de la memòria d'una persona sota pressió un diumenge a la nit, que és just quan la memòria falla (06-01); (3) la Lucía no pot ser qui autoritzi el seu propi accés: això no és autorització, és autoservei, i elimina la separació de funcions que dona sentit al control; (4) no hi afegeix detecció, així que la desviació següent es tornaria a descobrir nou mesos després en una altra auditoria; i (5) no produeix evidència estructurada, sinó un correu solt en una bústia, que és exactament el tipus d'evidència efímera que aquesta lliçó desaconsella. La regla general: si l'acció correctiva depèn que algú se'n recordi, no és una acció correctiva.

Exercici 3

Àmbit triat: detecció i resposta (C-07, C-08, C-09, C-17 i les deteccions D-01…D-12). I la justificació és la que ordena tot l'exercici: és l'àmbit on la distància entre el que està documentat i el que és real és sistemàticament més gran. Les polítiques d'accés o de xifratge són fàcils de verificar i solen estar bé; en canvi, un catàleg de dotze deteccions escrit en un document i un runbook impecable poden conviure perfectament amb la incapacitat de veure un atacant durant vint dies. És exactament el que va passar a 02-06, i l'àmbit que cap qüestionari de client no sap avaluar.

Com provaria cada control de debò, en 6 hores:

Mostra que demanaria, i el criteri és que la tria l'auditor, no l'auditat: les 10 últimes alertes de qualsevol severitat —no les que la Lucía proposi— seguint cadascuna fins al seu tancament, i totes les S1 del semestre. Què esperaria trobar, sent realista amb una pime: que dues o tres deteccions no s'han provat mai i una no dispara —llindar mal calibrat, canvi de format del registre, credencial del col·lector caducada—, que és la troballa més probable i la més valuosa; que les alertes de severitat baixa es tanquen sense comentari, cosa que impedeix distingir «revisada i descartada» d'«ignorada»; que el runbook té buits de coneixement tàcit —on és una credencial, a qui trucar, quina ordre exacta—, troballa que ataca directament R-09 i que cap revisió documental no hauria produït; i que el MTTD real és pitjor que el declarat, perquè el declarat es calcula sobre els incidents detectats i no sobre els que es van detectar tard. Per què aquest cicle i no un altre. Un cicle sobre polítiques produiria un informe polit amb dues observacions cosmètiques i cap informació nova. Aquest produeix troballes incòmodes sobre el risc crític —la ceguesa que va costar 20 dies a 02-06—, prova controls en lloc de llegir-los, i de passada valida la feina del mòdul 5 en condicions reals. A més té un efecte secundari que per si sol justifica les 6 hores: en acabar, l'Iván sap executar el runbook, amb la qual cosa l'auditoria no només ha mesurat el risc R-09, l'ha reduït.

Has après a separar dues coses que es confonen amb conseqüències cares: estar segur i poder demostrar-ho. Amb les dues afirmacions que cal sostenir alhora —el compliment sense seguretat és teatre i la seguretat sense evidència no sobreviu a una auditoria, a un client, a un canvi de responsable ni a si mateixa— i amb l'argument econòmic que convenç qui veu això com a burocràcia: l'evidència és més barata si es genera en fer la feina que si es reconstrueix després; l'auditoria no és cara, reconstruir és car. Saps què és una evidència i què la fa vàlida: atribuïble, datada, íntegra, reproduïble i conservada, amb la taula de tipus i els seus exemples presos de tot el curs —POL-02 aprovada, la política del bucket A-02 exportada, la taula d'auditoria C-07, les sortides de trivy, prowler i lynis, l'informe de restauració amb RTO mesurat, la fitxa PT-2026-01 i el seu retest, l'acta signada de C-21, el tiquet d'alta tancat, la matriu de recertificació—, complint la promesa de 05-07 que el mòdul 5 anava generant exactament el material que ara fa falta. Amb els dos criteris d'elecció: prefereix l'evidència que la màquina genera sola, i recorda que l'evidència més valuosa és la que demostra que el control va detectar alguna cosa i es va corregir.

Tens la matriu de traçabilitat en la seva forma final, amb risc, requisit, política, control, evidència, responsable, freqüència i última verificació, en taula i com a yaml que viu al repositori i es revisa en pull request; amb el càlcul que la justifica davant la direcció: 15 hores l'any mantenir-la davant de 40-60 reconstruir-la, i amb material incomplet perquè el registre va rotar i la persona va marxar. Saps automatitzar la recollida amb un recol·lector que exporta, segella amb hashos, signa i emmagatzema en emmagatzematge immutable, respectant la frontera correcta —s'automatitza el fet verificable, no el judici— i acabant amb la llista del que només pot fer una persona.

Distingeixes els cinc tipus d'auditoria i què s'hi juga en cadascun, coneixes el procés complet de nou passos amb els dos punts on es decideix el resultat —l'abast i el mostreig—, i sobretot saps com es comporta un auditor de debò: no revisa documents, pren una afirmació, demana una mostra i segueix el rastre, buscant la incoherència entre l'escrit, el que la gent diu i el que el sistema mostra. Les dues entrevistes simulades t'han ensenyat les preguntes que importen —població completa davant de mostra, el camí alternatiu d'emergència, «esborri'l i faci'l passar»— i la lliçó més contraintuïtiva: reconèixer una desviació amb el seu registre i la seva correcció puntua millor que afirmar que no n'hi ha cap.

Saps classificar troballes —major, menor, observació, oportunitat—, respondre sense discutir ni exagerar, i redactar un pla d'accions correctives els dos apartats decisius del qual són l'anàlisi de causa arrel i la verificació d'eficàcia en una data futura: sense el primer la troballa torna amb un altre nom, i sense la segona l'acció es declara tancada just quan encara no se sap si funciona. Saps muntar l'auditoria interna en una empresa de 38 persones amb la independència mínima viable —qui audita no executa— i comprant dos dies d'extern on no n'hi ha, amb el seu programa anual i el seu informe que també documenta el que va funcionar, perquè un programa que només porta males notícies deixa de ser benvingut. Distingeixes l'auditoria tècnica de la de gestió, saps que fallen en llocs diferents i per què el pentest és una evidència, no una auditoria. I saps industrialitzar els qüestionaris de clients amb un dossier de tres nivells —públic, sota confidencialitat i el que mai es lliura, perquè l'informe complet de pentest és un mapa d'atac—. Tanques amb el quadre d'estat per control i la seva regla de degradació automàtica, i amb les dues trampes: auditar només el que és fàcil d'evidenciar i optimitzar per a l'auditoria en comptes de per al risc, l'antídot de les quals és publicar junts compliment i risc residual.