Los logs o registros de eventos son una de las principales fuentes de información cuando necesitamos reconstruir qué ha ocurrido dentro de un sistema informático. Accesos, modificaciones, errores, operaciones críticas o cambios de configuración pueden quedar registrados y convertirse en evidencias fundamentales durante una auditoría.
Sin embargo, existe una cuestión que no siempre recibe suficiente atención: ¿qué ocurre si un administrador del sistema puede modificar o eliminar esos mismos logs?
Disponer de registros no garantiza, por sí solo, una trazabilidad adecuada. Para que sean realmente útiles deben existir mecanismos que protejan su integridad, conservación y fiabilidad.
¿Por qué son importantes los logs?
Un sistema empresarial puede gestionar miles de operaciones diariamente. Cuando se produce una incidencia, resulta prácticamente imposible determinar qué ocurrió basándose únicamente en el estado actual de los datos.
Los logs permiten reconstruir determinados acontecimientos y responder a preguntas esenciales:
- ¿Qué usuario accedió al sistema?
- ¿Cuándo realizó una determinada operación?
- ¿Qué información fue modificada?
- ¿Hubo intentos fallidos de acceso?
- ¿Se realizaron cambios en los permisos?
- ¿Quién ejecutó una operación administrativa?
Esta información resulta especialmente relevante ante incidentes de seguridad, conflictos internos, auditorías, inspecciones o investigaciones posteriores.
El problema aparece cuando esos registros pueden alterarse sin dejar ninguna evidencia.
El administrador también debe ser auditable
Los administradores necesitan privilegios elevados para mantener y gestionar los sistemas. Dependiendo de la arquitectura utilizada, pueden crear usuarios, modificar configuraciones, acceder a bases de datos o gestionar determinados registros.
Estos permisos son necesarios, pero también representan un riesgo.
Desde la perspectiva de una auditoría informática, disponer de privilegios administrativos no debería significar operar sin trazabilidad.
Las acciones realizadas por usuarios privilegiados deberían quedar registradas con un nivel de detalle suficiente para poder determinar posteriormente qué ocurrió.
Si un administrador puede modificar información y, posteriormente, eliminar cualquier evidencia de esa actuación, la pista de auditoría pierde gran parte de su utilidad.
Inmutabilidad: proteger la evidencia
Uno de los conceptos fundamentales relacionados con los logs es la inmutabilidad.
El objetivo es evitar que los registros puedan ser modificados o eliminados de forma no autorizada una vez generados o, al menos, garantizar que cualquier alteración pueda ser detectada.
Existen diferentes estrategias técnicas para conseguirlo: almacenamiento separado, controles de acceso específicos, sistemas centralizados de gestión de logs, mecanismos criptográficos o soluciones que impidan la sobrescritura durante determinados periodos.
No existe una única solución válida para todas las organizaciones. La arquitectura deberá adaptarse al nivel de riesgo, al tipo de información y a los requisitos aplicables.
Lo importante es evitar una situación demasiado habitual: que la misma persona que administra el sistema controle también todas las evidencias sobre sus propias actuaciones.
Segregación de funciones y mínimo privilegio
La gestión de logs está directamente relacionada con dos principios habituales de seguridad: segregación de funciones y mínimo privilegio.
Un usuario debería disponer únicamente de los permisos necesarios para realizar su trabajo. Del mismo modo, determinadas funciones críticas pueden requerir que las responsabilidades se encuentren distribuidas entre diferentes perfiles.
Por ejemplo, administrar una aplicación no debería implicar necesariamente tener capacidad ilimitada para modificar los registros de auditoría.
Una auditoría informática puede analizar precisamente estas situaciones:
- quién puede consultar los logs;
- quién puede eliminarlos;
- quién puede modificar su configuración;
- durante cuánto tiempo se conservan;
- si las acciones administrativas también quedan registradas;
- si existen alertas ante determinadas operaciones.
El objetivo no consiste en acumular registros indiscriminadamente, sino en garantizar que las evidencias relevantes sean útiles y fiables.
Conservar logs tampoco significa guardarlo todo
Otro error frecuente consiste en considerar que cuantos más logs se almacenen, mejor será la seguridad.
No necesariamente.
Una estrategia adecuada debe determinar qué eventos deben registrarse, durante cuánto tiempo, con qué nivel de detalle y quién puede acceder a ellos.
Además, los logs pueden contener datos personales o información sensible, por lo que su conservación también debe diseñarse teniendo en cuenta los requisitos de privacidad y protección de datos.
Registrar absolutamente todas las acciones durante periodos indefinidos puede resultar tan problemático como no registrar ninguna.
¿Qué debería comprobar una auditoría informática?
Una revisión de la trazabilidad no debería limitarse a verificar que existe una carpeta denominada “logs”.
Debe analizarse todo el ciclo de vida de esos registros: generación, almacenamiento, acceso, protección, conservación y eliminación.
También resulta conveniente comprobar mediante pruebas si los controles funcionan realmente.
Por ejemplo: realizar una operación controlada, verificar qué registro genera, comprobar qué información contiene e intentar determinar qué perfiles podrían modificarlo o eliminarlo.
Este tipo de pruebas permite detectar diferencias entre lo que la organización cree que registra su sistema y lo que realmente puede demostrar.
Tener logs no es lo mismo que tener evidencias
Las organizaciones dependen cada vez más de sistemas digitales para realizar operaciones críticas. En este contexto, poder reconstruir posteriormente lo sucedido se convierte en una parte esencial del control interno.
Los logs son una herramienta fundamental, pero su existencia no basta.
Una verdadera trazabilidad requiere registros protegidos, accesibles, correctamente conservados y asociados a usuarios y operaciones identificables.
Por eso, ante una auditoría informática, la pregunta no debería ser únicamente:
“¿Nuestro sistema genera logs?”
La pregunta realmente importante es:
“¿Podemos demostrar que nadie ha podido alterarlos sin dejar rastro?”
Contáctanos en info@legalauditors.es
