1. Por qué exportar evidencia de auditoría de ia como CSV
Un PDF firmado es el artefacto que entregas a un revisor; un CSV es el artefacto en el que un revisor realmente trabaja. El mismo paquete de evidencia se renderiza a cualquiera de los dos — el CSV solo aplana cada sección en una sola tabla de ancho fijo para que un auditor pueda filtrar porsection, ordenar
por at_utc o grepear un id de control sin abrir tu consola.
El artefacto presentable. El primer PDF es gratis para demostrar en
cualquier plan.
CSV
La tabla plana y etiquetada por sección que un auditor abre en una hoja de
cálculo. De pago.
JSON
La misma evidencia como registros estructurados para tu propio pipeline. De
pago.
Cada formato se construye desde el mismo paquete de evidencia y el mismo
hash de contenido — el CSV es una renderización, no un reporte distinto.
Cambiar de formato no cambia lo que dice la evidencia, solo cómo se lee.
2. Quién puede exportar, y qué cuesta
Navegar y leer tu postura de preparación es gratis para cada miembro. Generar un reporte es una acción de Admin: el plan gratuito incluye un reporte PDF, mientras que la exportación CSV/JSON y los reportes adicionales requieren un plan de pago. La verificación se aplica del lado del servidor, así que una llamada directa a la API no puede saltársela.| Acción | Rol | Plan |
|---|---|---|
| Navegar catálogo / preparación | Member | Gratis |
| Generar el primer PDF | Admin | Gratis |
| Generar CSV / JSON | Admin | De pago |
3. Una exportación concreta
La exportación es un flujo de dos llamadas desde la consola: un Admin genera el reporte (async — devuelvepending de inmediato), luego descarga el artefacto
una vez que está ready. Ambas rutas usan tu sesión de consola (UserAuth),
no una clave de relay.
Genera el reporte como CSV (Admin, de pago)
Elige un framework y un período, escoge CSV y genera. El reporte se
encola y se renderiza del lado del servidor desde tus datos reales de
aplicación para esa ventana.
4. Qué contiene el CSV
El CSV es una sola tabla coherente: un encabezado fijo de siete columnas, y una etiquetasection en cada fila para que un solo archivo lleve todas sus
secciones. El orden de las filas es determinista — dos renderizaciones de la
misma evidencia producen un CSV idéntico byte a byte.
report — meta del encabezado
report — meta del encabezado
Framework, jurisdicción, el período de reporte, quién mapeó los controles,
un descargo y la región de residencia de datos estampada.
coverage — mapeo de controles
coverage — mapeo de controles
Una fila por control mapeado: su id, nombre, cláusula, estado y el plano
(guardrails o firewall) que lo aplica.
enforcement — qué pasó realmente
enforcement — qué pasó realmente
Totales del período: violaciones de guardrail, y conteos de firewall
permitidos / bloqueados / auditados — el registro real de aplicación, no una
afirmación.
consent — clasificación de miembros
consent — clasificación de miembros
Un resumen más filas por miembro: la versión actual de divulgación y el
estado de consentimiento de cada miembro (válido / obsoleto / revocado /
ninguno).
change_log — quién cambió qué
change_log — quién cambió qué
Cambios de versión de guardrail (operación + autor) y cambios del registro
de auditoría, cada uno con marca de tiempo — el historial a prueba de
manipulaciones de tus ediciones de política.
admin_access — acciones privilegiadas
admin_access — acciones privilegiadas
Actor admin, acción y el recurso tocado — el rastro de acceso privilegiado
que buscan los auditores.
gap — controles no cubiertos
gap — controles no cubiertos
Controles sin cobertura, etiquetados
gateway-enforceable u
organizational para que sepas qué huecos cierras en política frente a
proceso.subprocessor / access_key / admin_user
subprocessor / access_key / admin_user
Tus subprocesadores de IA, una revisión de acceso de claves (estado +
expiración) y el listado de usuarios admin.
Cada celda de texto libre está blindada contra inyección de fórmulas de
hoja de cálculo — un valor que comienza con
=, +, - o @ se prefija con
una comilla literal para que abrir el archivo nunca ejecute un payload que viajó
en una subcadena coincidente.5. El CSV es evidencia firmada, no una hoja de cálculo suelta
Un reporte de cumplimiento — en cualquier formato — está firmado con Ed25519 y lleva un hash de contenido SHA-256 sobre su evidencia canónica. Eso hace al artefacto verificable públicamente: cualquiera al que se lo entregues puede confirmar que vino de tu espacio de trabajo y no ha sido alterado, sin una cuenta de OrcaRouter.Verificar un reporte
Cómo un destinatario verifica la firma contra la clave pública — sin inicio
de sesión requerido.
Reportes firmados
Qué se firma, el hash de contenido y el enlace de compartición para el
auditor.
6. Exportar coincidencias crudas de guardrail
El CSV de cumplimiento es la evidencia curada y mapeada al framework. Si un auditor quiere el feed de coincidencias crudas — cada acierto individual de guardrail detrás de los conteos — puedes transmitirlo por separado como CSV o JSON, filtrado a tu vista actual.Esta exportación es evidencia operativa fila-por-coincidencia, no un artefacto
de cumplimiento firmado. Para evidencia firmada y mapeada al framework, genera
un reporte de cumplimiento (Sección 3). Para qué alimenta los registros de
coincidencias, ver Guardrails.
7. Dónde ir a continuación
Instalar un pack
Materializa las reglas de guardrail y firewall de un framework antes de
reportar sobre ellas.
Restricciones por plan
Exactamente qué acciones de cumplimiento son gratis frente a de pago y
restringidas a Admin.
Residencia de datos
La región bajo la que se estampa y sirve la evidencia de un reporte.
Frameworks
Para qué frameworks puedes generar evidencia.