Cómo preparar una auditoría de cambios de software: checklist

Qué muestrean los auditores

Las auditorías de cambios suelen tomar una muestra de cambios de un periodo y probar cada uno contra tu política de gestión de cambios. Las preguntas se repiten, así que la evidencia puede prepararse una vez y guardarse con cada cambio.

La lista de verificación de cada cambio

• La solicitud y su justificación de negocio.
• El requisito o la historia que implementa.
• El código: la rama, el pull request y quién lo revisó.
• Los resultados de las pruebas y el ambiente donde se ejecutaron.
• La autorización: quién, cuándo y con qué acta.
• La evidencia de instalación en cada ambiente.
• El plan de rollback, y qué pasó si se usó.
• El historial completo de cambios de estado.

Contrasta tu política con la realidad

• ¿La herramienta exige los pasos que describe la política?
• ¿Los aprobadores son los roles que nombra la política?
• ¿La segregación de funciones se ve en los registros?
• ¿Los cambios de emergencia se revisan después?

Responder en horas

Cuando cada cambio lleva su evidencia, la muestra de la auditoría se convierte en una lista de descargas. En DevGob eso es un paquete de evidencias por cambio, con hash y firmado, más el log de auditoría en CSV.