Transparencia de CyberProva
Cómo evalúa CyberProva la seguridad
Comprenda las observaciones automatizadas, la revisión de evidencia, las limitaciones de puntuación y evaluación de CyberProva.
Definir el alcance
Una evaluación CyberProva combina observaciones técnicas seleccionadas con controles comerciales que requieren evidencia. Un inquilino de Microsoft 365 conectado, un sitio web verificado y los documentos cargados cubren cada uno una parte diferente de ese alcance.
- Verifique la organización, el inquilino conectado y los dominios antes de interpretar los resultados.
- Revise las exclusiones, los requisitos de licencia, las lagunas en los permisos y la fecha de evaluación.
Controles automatizados
CyberProva lee la configuración y la información de actividad disponible a través de Microsoft Graph y fuentes técnicas públicas seleccionadas. Cada hallazgo identifica la verificación, el método y el resultado disponible.
- Algunas observaciones establecen una configuración específica; otros identifican algo que su equipo de TI necesita revisar.
- Una lectura fallida, un permiso faltante, una licencia faltante o datos incompletos se informan como no disponibles o requieren revisión, en lugar de inferirse como resultado conforme.
- Un resultado describe la información disponible en el momento de la evaluación; no establece una protección continua.
Controles basados en evidencia
Su organización o proveedor de TI proporciona documentos de respaldo para los controles que no se pueden establecer solo desde Microsoft 365. Un revisor autorizado del espacio de trabajo decide si acepta la evidencia.
- Utilice evidencia fechada que identifique su alcance, propietario y resultado.
- CyberProva distingue evidencia aportada, aceptación del revisor y observaciones automáticas.
- CyberProva no certifica de forma independiente la autenticidad o los hechos subyacentes de las pruebas cargadas.
Puntuaciones y prioridades
Lea los hallazgos detrás de cada puntuación. La evaluación básica asigna puntuaciones a controles seleccionados, incluidas las pruebas aceptadas y las observaciones técnicas; Las evaluaciones avanzadas reportan su propia evaluación y cobertura.
- Una puntuación es un resumen de las comprobaciones seleccionadas, no una probabilidad de que evites un ataque.
- El resultado de una revisión puede contribuir a una puntuación sin dejar de necesitar el juicio humano.
- Lea las lagunas de evidencia y los controles no disponibles junto con la puntuación, luego acuerde los propietarios y las próximas acciones.
Lo que CyberProva no hace
CyberProva apoya la evaluación, la recopilación de pruebas y el seguimiento. No garantiza que una organización sea segura o que no haya ocurrido un incidente.
- Sin pruebas de penetración ni investigación de incidentes.
- No hay certificación independiente de las pruebas cargadas.
- Sin certificación Cyber Essentials; Cyber Essentials es un esquema del Reino Unido administrado a través de su proceso de certificación.
- No hay cambios automáticos en su configuración de Microsoft 365.
- El monitoreo programado es periódico y depende del plan, en lugar de una vigilancia en tiempo real.