Volver a la documentacióndocs/guide/security-evidence.mdRepositorio privado
Evidencia de seguridad: alcance y verificaciones pendientes
Registro de alcance del 31 de octubre de 2026. Una persona debe validar las evidencias y el despliegue concreto antes de admitir datos reales o actuar. Este documento no acredita certificación ni un informe SOC 2.
Qué significa cada estado
- Diseñado / implementado: hay arquitectura o código para el control. No demuestra que esté correctamente desplegado o que funcione con las identidades reales.
- Probado en local: se ejecutaron comprobaciones automatizadas en el entorno local de prueba. Su alcance termina en ese entorno y en los proveedores identificados como emulados.
- Pendiente de validación operativa: falta evidencia del entorno alojado y revisión de las personas responsables. No se presenta como un control verificado.
Evidencia disponible y límites
| Control | Evidencia local o de diseño | Validación pendiente |
|---|---|---|
| Tenant y roles | Pruebas de pertenencia, autorización y políticas RLS forzadas en PostgreSQL local | Identidades, permisos y denegación entre tenants del entorno desplegado |
| Aprobación | Diff firmado y recorrido WebAuthn probado con autenticador virtual | Revisión personal, llave real y persona identificada que apruebe el plan |
| Auditoría | Verificador de la cadena y restricciones de escritura comprobados localmente | Completitud, Object Lock efectivo, retención S3 y restauración medida |
| Separación de planos | Servicios, identidades y redes declarados en arquitectura y manifests | Comprobar los permisos y la red efectiva, y el rechazo de acceso a producción |
| Cadena de suministro | Pipeline con escáneres, dependencias bloqueadas, firma y procedencia configurados | Checks del mismo commit, artefactos publicados y admisión de imágenes en destino |
| Operación | Objetivos y procedimientos documentados | Carga, alertas entregadas, backups, restore, evaluación adversarial del modelo real y revisión independiente |
La verificación de integridad python -m centinela_audit.cli verify comprueba la cadena de auditoría; no evalúa todos los controles operativos. Un pipeline verde no significa ausencia de vulnerabilidades.
Demo y datos reales
La vista previa pública usa datos sintéticos. En la demo funcional local los proveedores de identidad, GitHub, AWS y modelo están emulados o reproducidos explícitamente. El resultado del emulador no es un Pull Request real en github.com; un autenticador virtual no demuestra aprobación humana.
El registro de solicitudes tampoco concede acceso. La persona operadora debe revisar el alcance, los roles y la caducidad antes de emitir una invitación. Antes de habilitar recepción de datos personales reales se deben validar el responsable, el contacto de privacidad, la retención y la purga del registro activo. Los backups necesitan un alcance de retención revisado por separado.
No hay evidencia suficiente en esta verificación local para anunciar efectividad operativa en una nube alojada o admitir datos enterprise sensibles. Las evidencias deben volver a revisarse para la versión y el entorno que se vayan a utilizar.