Reporte técnico
Activos, topología, puertos, cifrado, vulnerabilidades, tráfico y evidencia.
Controles Volumétricos · RMF 2026
Evidencia técnica para demostrar su cumplimiento.
Pruebas de seguridad para los activos tecnológicos que soportan sus Controles Volumétricos, con documentación, trazabilidad y seguimiento de hallazgos.
ANEXO 21 · 21.6.2 · FRACCIÓN XVIIPrueba anualSin detener la operaciónEvidencia trazableSeguimiento
PLAN DE REMEDIACIÓNHALLAZGO · ACCIÓN · PLAZO
TABLA DE CUMPLIMIENTOFRACCIÓN · ESTADO · EVIDENCIA
Ingenio.Cero / EVIDENCIA
INFORME DE PRUEBAS DE SEGURIDADCONTROLES
VOLUMÉTRICOS
ANEXO 21 / 21.6.2 / XVII- INSTALACIÓN EVALUADA
- DATOS ANONIMIZADOS
- FOLIO
- INT–2026–0001
- SHA-256
- 8F2A…91D0
EVIDENCIA
TRAZABLE
TRAZABLE
El expediente es el producto
Esto es lo que recibe.
No está comprando un escaneo. Está construyendo evidencia para su expediente de cumplimiento.
↗
Resumen ejecutivo
Riesgo, prioridades, impacto operativo y recomendaciones.
Tabla 21.6.2
Fracción, requisito, estado, detalle y evidencia asociada.
Plan de remediación
Hallazgo, severidad, acción, responsable, plazo y estado.
Constancia de ejecución
Folio, fecha, instalación, alcance, metodología y responsable técnico.
ANEXO 21 · RMF 2026
21.6.2
XVII · PRUEBAS DE SEGURIDAD DOCUMENTADAS Y SEGUIMIENTO DE HALLAZGOS
Fundamento normativo
No es una recomendación de ciberseguridad.
Es un requerimiento documentado.
La prueba relaciona cada activo, resultado y evidencia con el requisito que técnicamente soporta. La referencia exacta debe validarse contra la publicación oficial vigente.
Consultar fuente oficial DOF →Metodología
De la instalación
a la evidencia.
Una secuencia no destructiva que convierte señales técnicas en hallazgos revisables y acciones concretas.
FASE 01
Inventario de activos
IP, MAC, fabricante, hostname, sistema estimado, clasificación y criticidad.
FASE 02
Exposición de servicios
Conexiones estándar para identificar puertos, servicios y estado de cifrado, sin explotación.
FASE 03
Vulnerabilidades
Del producto y versión a CPE, NVD, CVE y CVSS; las inferencias siempre requieren validación.
FASE 04
Tráfico y segmentación
Metadatos mínimos para documentar flujos, protocolos sin cifrado e indicadores de riesgo.
ACTIVO→SERVICIO→CPE→CVE→HALLAZGO
Seguridad operativa
La estación sigue operando.
El alcance está diseñado para instalaciones en operación mediante conexiones estándar, monitoreo pasivo y comunicación saliente cifrada.
No realizamos: fuerza bruta · explotación activa · inyección de código · denegación de servicio · pruebas destructivas.
Alcance transparente
25 requisitos.
Un mapa claro de responsabilidades.
FRACCIÓNIClasificación de alcance
FRACCIÓNIIClasificación de alcance
FRACCIÓNIIIClasificación de alcance
FRACCIÓNIVClasificación de alcance
FRACCIÓNVRequiere revisión
FRACCIÓNVIClasificación de alcance
FRACCIÓNVIIClasificación de alcance
FRACCIÓNVIIIClasificación de alcance
FRACCIÓNIXClasificación de alcance
FRACCIÓNXRequiere revisión
FRACCIÓNXIClasificación de alcance
FRACCIÓNXIIClasificación de alcance
FRACCIÓNXIIIClasificación de alcance
FRACCIÓNXIVClasificación de alcance
FRACCIÓNXVRequiere revisión
FRACCIÓNXVIClasificación de alcance
FRACCIÓNXVIIEvidencia generada
FRACCIÓNXVIIIClasificación de alcance
FRACCIÓNXIXClasificación de alcance
FRACCIÓNXXRequiere revisión
FRACCIÓNXXIClasificación de alcance
FRACCIÓNXXIIClasificación de alcance
FRACCIÓNXXIIIClasificación de alcance
FRACCIÓNXXIVClasificación de alcance
FRACCIÓNXXVRequiere revisión
XVII
La prueba anual
La prueba no termina cuando se genera el PDF.
Los hallazgos continúan por una ruta documentada hasta su cierre.
PRUEBA→HALLAZGO→REMEDIACIÓN→REVALIDACIÓN→CIERRE
El alcance, antes de firmar
Preferimos definir el límite antes de contratar.
✓ Hacemos
Inventario tecnológico
Exposición de servicios
Validación de TLS
Análisis de segmentación
Monitoreo pasivo
Correlación CVE
Evidencia técnica
Seguimiento y revalidación
— Fuera de este alcance
Pentesting activo
Fuerza bruta o DoS
Phishing e ingeniería social
Auditoría integral de código
Verificación metrológica
Operación de antivirus o IDS/IPS
Sectores
Una metodología.
Alcances específicos.
Estaciones de servicio
Gasolina · Diésel
Ver alcance →Distribuidores y almacenistas
Operación e infraestructura multiinstalación
Ver alcance →Comercializadores
Operación e infraestructura multiinstalación
Ver alcance →Transportistas
Operación e infraestructura multiinstalación
Ver alcance →Auditores y verificadores
Evidencia diseñada para ser revisada
Ver alcance →Grupos multiinstalación
Una instalación o cincuenta.
Una sola vista.
La vista consolida estados y hallazgos sin sustituir el expediente individual de cada instalación.
CONTROL DE CUMPLIMIENTO
DATOS DEMOSTRATIVOS12Instalaciones
9Con evidencia
2Atención
1Crítica
INSTALACIÓNÚLTIMA PRUEBAHALLAZGOSESTADO
NORTE 012026–03–121✓ EVIDENCIACENTRO 032026–04–122✓ EVIDENCIAGOLFO 022026–05–123! ATENCIÓNPreguntas frecuentes
Respuestas sin letra pequeña.
No. Ingenio.Cero genera evidencia técnica para el expediente y para apoyar la revisión del proveedor del servicio de verificación correspondiente.
Evaluación inicial
Antes de su próxima verificación, sepa qué evidencia tiene y cuál le falta.
Revisamos su situación actual y determinamos el alcance técnico aplicable a su instalación.