A qué deben resistir realmente los registros de auditoría en el sector público
Una agencia normalmente puede generar un registro de acceso cuando un organismo de supervisión lo solicita. Muy pocas pueden responder una pregunta más difícil: ¿alguien con acceso administrativo podría haber editado ese registro en silencio antes de entregarlo? Si la respuesta es sí, aunque sea en teoría, el registro no es una prueba. Es un documento que alguien con las credenciales adecuadas podría haber escrito para decir lo que quisiera sobre quién accedió a un registro ciudadano.
Este artículo analiza qué hace que una pista de auditoría sea realmente confiable como evidencia para una agencia del sector público, y por qué los registros de la mayoría de las agencias no superan esa prueba.
Resumen ejecutivo
La utilidad de una pista de auditoría para un organismo de supervisión o un investigador interno depende totalmente de la confianza en su integridad, y esa confianza no puede basarse solo en la política. Si el acceso administrativo al almacenamiento subyacente de los registros permite técnicamente editarlos, el hecho de que la política lo prohíba no es lo mismo que hacerlo imposible. Para los líderes de TI y cumplimiento, el estándar práctico es arquitectónico: ¿puede cualquier persona, incluido un administrador del sistema, realmente modificar el registro?
Puntos clave
- Un registro que un administrador puede editar o eliminar no es una prueba, sin importar cuán detallado sea.
- El acceso al almacenamiento subyacente de los registros debe estar restringido a nivel arquitectónico, no solo por política.
- La separación de funciones es tan importante como la restricción de acceso. La persona que accede a un registro ciudadano y la persona que revisa el registro de ese acceso no deben tener el mismo rol.
- La integridad y la inmediatez forman parte de la confiabilidad, no son aspectos separados.
- Los organismos de supervisión preguntan cada vez más cómo se protege un registro, no solo qué contiene.
Por qué «tenemos registros detallados» es el punto de partida equivocado para las agencias
La mayoría de las conversaciones sobre registros de auditoría se centran en la cobertura. La cobertura importa, pero responde a la pregunta incorrecta al inicio.
Detalle sin integridad es solo una historia bien escrita
Un registro con detalles sobre quién accedió a un registro ciudadano solo es confiable si hay garantía de que nadie lo alteró después.
La pregunta que realmente importa: ¿quién podría haber cambiado esto?
La pregunta correcta no es qué registra un registro, sino quién tiene la capacidad técnica de modificarlo después de que se haya escrito.
Qué hace que la integridad de los registros sea arquitectónica y no solo procedimental
Una política que dice que los administradores no deben editar registros depende de que los administradores decidan cumplirla. Un control arquitectónico elimina la posibilidad técnica de hacer lo contrario.
Sin acceso permanente al almacenamiento subyacente de los registros
La versión más sólida de este control es aquella en la que ni los propios administradores de TI de la agencia ni el proveedor de la plataforma tienen acceso ordinario al sistema operativo o la base de datos donde se almacenan los registros.
Las excepciones deben ser realmente excepcionales, no una puerta trasera
Lo que diferencia una excepción justificable de una puerta trasera es si ese acceso es temporal, requiere doble autorización y queda completamente registrado.
Separación de funciones como una segunda protección independiente
Si el mismo rol que puede acceder a un registro ciudadano también es el que revisa el registro de ese acceso, ese rol tiene un conflicto de intereses inherente.
Quien actúa no debe ser quien audita
Una separación genuina de funciones asigna las tareas de cumplimiento, auditoría y políticas a roles distintos de la administración operativa.
Construir el estándar antes de que lo solicite un organismo de supervisión
La prueba práctica es preguntarse, con honestidad, quién podría modificar técnicamente los registros de auditoría de la agencia y si los roles que actúan y los que auditan están realmente separados.
Cómo un plano de control de datos integra la integridad probatoria en la arquitectura
El Data Control Plane de Kiteworks funciona sobre una arquitectura reforzada donde ni Kiteworks ni los propios administradores de TI de la agencia tienen acceso ordinario al sistema operativo o la base de datos subyacente, incluido el almacenamiento del registro de auditoría; cualquier acceso de soporte es temporal, con doble autorización y queda completamente registrado. Los roles dedicados de Cumplimiento y Auditoría separan la administración operativa de las funciones de auditoría, y cada acción en todos los canales se captura de forma completa e inmediata en un registro de auditoría inviolable y sin restricciones que se integra directamente con las herramientas SIEM.
Las agencias que quieran comprobar si su pista de auditoría actual resistiría la pregunta «¿un administrador podría haber editado esto?» pueden agendar una demo personalizada.
Preguntas frecuentes
Una pista de auditoría solo es confiable si su integridad está garantizada a nivel arquitectónico, es decir, que ninguna persona —incluidos los administradores del sistema— pueda modificar o eliminar registros técnicamente después de que se hayan escrito. La política por sí sola no es suficiente si sigue existiendo la posibilidad de editar.
Los detalles sobre los eventos de acceso solo son confiables si existe la garantía de que el registro no puede ser editado después. Sin restricciones arquitectónicas, un registro detallado es solo una historia bien escrita que alguien con credenciales podría haber fabricado.
La separación de funciones asegura que el rol que accede a los registros ciudadanos sea distinto del rol que revisa o audita esos registros de acceso. Esto evita conflictos de intereses y asigna las funciones de cumplimiento y auditoría a roles separados de la administración operativa.
Las características incluyen la ausencia de acceso permanente al almacenamiento subyacente de los registros para administradores de TI o proveedores, excepciones temporales con doble autorización que también quedan registradas, y la captura completa e inmediata de cada acción en un registro inviolable que se integra directamente con los sistemas SIEM.