Fuente: producto saas_posture, categorías sspm y governance, acciones con prefijo SSPM_. Un score o control sin evidencia fresca no debe tratarse como PASS.
1. Hallazgo crítico nuevo
- Severidad
- Crítica.
- Lógica
SSPM_* con severidad crítica y transición a FAIL/new/open.- Agrupación
- Tenant + proveedor +
rule_id + recurso. - Respuesta
- Asignar owner, validar evidencia/frescura y aplicar el playbook del control.
2. Deterioro de postura o control reabierto
- Severidad
- Alta.
- Lógica
- Detectar una transición PASS/resolved → FAIL/open o reapertura de un hallazgo dentro de 30 días.
- Ventana
- Inmediata; suprimir duplicados por
event_id. - Respuesta
- Comparar actor/cambio administrativo y confirmar si existía excepción vigente.
3. Cambio de privilegios o consentimiento administrativo
- Severidad
- Alta/crítica.
- Lógica
- Acción
SSPM_* asociada a roles privilegiados, grants OAuth o admin consent, especialmente fuera de ventana. - Entidades
- Usuario, aplicación, role, scopes, tenant y actor.
- Respuesta
- Validar ticket de cambio; revocar sólo desde el flujo autorizado del producto correspondiente.
4. Cobertura o sincronización degradada
- Severidad
- Media; alta si afecta controles críticos.
- Lógica
- Alertar cuando una fuente deja de sincronizar o la evidencia supera el SLA de frescura.
- Importante
- “No evaluado” no equivale a “cumple”. No abrir un incidente de incumplimiento si el problema es falta de telemetría.
- Respuesta
- Revisar permisos, consentimiento, conectividad y health de la fuente.
5. Uso de protocolo legacy o política efectiva riesgosa
- Severidad
- Alta.
- Lógica
- Hallazgo
SSPM_* que confirme protocolo legacy habilitado o política efectiva que permita autenticación débil. - Respuesta
- Identificar población afectada, dependencias y plan de desactivación; no inferir estado sólo desde una policy parcial.
Filtro inicial
product == "saas_posture"
and category in ["sspm", "governance"]
and action starts_with "SSPM_"
Compliance: los eventos técnicos respaldan controles, pero no certifican por sí solos cumplimiento integral. Preservá framework, versión, control, fuente de evidencia, frescura y cobertura.
Volver a configuración, destinos y contrato de eventos →
