SENTINEL-GRC
What it is — SENTINEL-GRC is a command-line tool for assessing GRC control maturity against the most relevant ISO standards in cybersecurity, AI governance, and business continuity. Unlike a static spreadsheet, it guides the assessment control by control in an interactive mode, calculates domain and overall scores, identifies and prioritises GAPs, generates a full Markdown report, and persists state as JSON — so you can version the maturity evolution with Git and resume interrupted assessments.
| Type | CLI · Python 3.10+ |
| License | MIT |
| Author | ISO/IEC 27001:2022 Lead Auditor & Lead Implementer · ISO/IEC 42001:2023 Lead Auditor |
| Repo | github.com/DonTrebor1/sentinel-grc |
Supported standards
| Standard | Description | Controls |
|---|---|---|
| ISO/IEC 27001:2022 | Information Security Management System (ISMS) | 93 controls (Clauses 4-10 + Annex A) |
| ISO/IEC 42001:2023 | AI Management System (AIMS) | 27 controls + Annex A |
| ISO 22301:2019 | Business Continuity Management System (BCMS) | 26 controls |
Maturity scale
| Level | Name | Description |
|---|---|---|
| 0 | Undefined | No process, control, or documentation exists |
| 1 | Initial | Something exists but informally or undocumented |
| 2 | Partial | Documented but incomplete or inconsistently applied |
| 3 | Defined | Fully documented, implemented, and operational |
| 4 | Optimised | Measured, reviewed, and continuously improved |
How to use it
Full interactive assessment (ISO 27001, 42001, or 22301):
python3 sentinel_grc.py --standard 27001 --org "Company name" --assessor "Your name"
python3 sentinel_grc.py --standard 42001 --org "Company name"
python3 sentinel_grc.py --standard 22301 --org "Company name"Resume an interrupted assessment:
python3 sentinel_grc.py --resume sentinel_27001_2026-07-05.jsonGenerate the Markdown report from an existing assessment:
python3 sentinel_grc.py --report sentinel_27001_2026-07-05.json -o maturity_report.mdView the terminal summary without regenerating the report:
python3 sentinel_grc.py --summary sentinel_27001_2026-07-05.jsonConvert the report to PDF (requires pandoc):
pandoc maturity_report.md -o maturity_report.pdfRecommended workflow
1. Interactive assessment
python3 sentinel_grc.py --standard 27001 --org "Company" --assessor "Your name"
|
2. Review the terminal summary (automatic at the end)
|
3. Generate the Markdown report (asked at the end)
|
4. Share the report with management / the client
|
5. Version the JSON in Git to track evolution
git add sentinel_27001_*.json && git commit -m "Q3 2026 assessment"
|
6. Next period, resume with --resume to see the evolutionOutput
sentinel_27001_YYYY-MM-DD.json # Full state (Git-versionable)
sentinel_report_27001_YYYY-MM-DD.md # Markdown report with:
# - Executive summary
# - Score per domain
# - Prioritised GAPs
# - Recommended action plan
# - Detail of every control⚠️ This tool is a self-assessment aid for GRC maturity. It doesn't replace a formal certification audit performed by an accredited body — results are indicative and depend on the assessor's knowledge.
Repository
Qué es — SENTINEL-GRC es una herramienta de línea de comandos para evaluar el nivel de madurez de controles GRC según las normas ISO más relevantes en ciberseguridad, gobernanza de IA y continuidad de negocio. A diferencia de una hoja de cálculo estática, guía la evaluación control por control en modo interactivo, calcula el score por dominio y global, identifica y prioriza los GAPs, genera un informe completo en Markdown, y persiste el estado en JSON — puedes versionar la evolución de madurez con Git y reanudar evaluaciones interrumpidas.
| Tipo | CLI · Python 3.10+ |
| Licencia | MIT |
| Autor | ISO/IEC 27001:2022 Lead Auditor & Lead Implementer · ISO/IEC 42001:2023 Lead Auditor |
| Repo | github.com/DonTrebor1/sentinel-grc |
Normas soportadas
| Norma | Descripción | Controles |
|---|---|---|
| ISO/IEC 27001:2022 | Sistema de Gestión de Seguridad de la Información (SGSI) | 93 controles (Cláusulas 4-10 + Anexo A) |
| ISO/IEC 42001:2023 | Sistema de Gestión de IA (SGAI) | 27 controles + Anexo A |
| ISO 22301:2019 | Sistema de Gestión de Continuidad de Negocio (SGCN) | 26 controles |
Escala de madurez
| Nivel | Nombre | Descripción |
|---|---|---|
| 0 | No definido | No existe ningún proceso, control o documentación |
| 1 | Inicial | Existe algo pero de forma informal o sin documentar |
| 2 | Parcial | Documentado pero incompleto o aplicado inconsistentemente |
| 3 | Definido | Completamente documentado, implementado y operativo |
| 4 | Optimizado | Medido, revisado y mejorado de forma continua |
Uso
Evaluación interactiva completa (ISO 27001, 42001 o 22301):
python3 sentinel_grc.py --standard 27001 --org "Nombre de la empresa" --assessor "Tu nombre"
python3 sentinel_grc.py --standard 42001 --org "Nombre de la empresa"
python3 sentinel_grc.py --standard 22301 --org "Nombre de la empresa"Reanudar una evaluación interrumpida:
python3 sentinel_grc.py --resume sentinel_27001_2026-07-05.jsonGenerar el informe Markdown desde una evaluación ya existente:
python3 sentinel_grc.py --report sentinel_27001_2026-07-05.json -o informe_madurez.mdVer el resumen en terminal sin regenerar el informe:
python3 sentinel_grc.py --summary sentinel_27001_2026-07-05.jsonConvertir el informe a PDF (requiere pandoc):
pandoc informe_madurez.md -o informe_madurez.pdfFlujo de trabajo recomendado
1. Evaluación interactiva
python3 sentinel_grc.py --standard 27001 --org "Empresa" --assessor "Tu nombre"
|
2. Revisar resumen en terminal (automático al terminar)
|
3. Generar informe Markdown (se pregunta al terminar)
|
4. Compartir informe con la dirección / cliente
|
5. Versionar el JSON en Git para tracking de evolución
git add sentinel_27001_*.json && git commit -m "Evaluación Q3 2026"
|
6. En el siguiente periodo, reanudar con --resume para ver la evoluciónOutput
sentinel_27001_YYYY-MM-DD.json # Estado completo (versionable con Git)
sentinel_report_27001_YYYY-MM-DD.md # Informe Markdown con:
# - Resumen ejecutivo
# - Puntuación por dominio
# - GAPs priorizados
# - Plan de acción recomendado
# - Detalle de todos los controles⚠️ Esta herramienta es una ayuda para la autoevaluación de madurez GRC. No sustituye a una auditoría formal de certificación realizada por un organismo acreditado — los resultados son orientativos y dependen del conocimiento del evaluador.