Una pregunta simple, pero esencial para cualquier empresa que gestione información crítica, procesos financieros o servicios digitales.
Introducción
En el marco de incidentes de ciberseguridad, la capacidad de reconstrucción precisa de los hechos no es una ventaja operativa: es una obligación técnica, legal y normativa.
Los registros de eventos —comúnmente denominados logs— constituyen la principal fuente de trazabilidad para determinar el origen, alcance y naturaleza de un incidente. No obstante, en múltiples auditorías realizadas sobre entidades del sector financiero, tecnológico y administrativo, hemos verificado un patrón común:
los logs existen, pero no permiten reconstruir nada útil.
¿Qué debe permitir un sistema de logging maduro?
Un entorno mínimamente adecuado debe poder responder con certeza técnica a las siguientes preguntas:
- ¿Quién accedió al recurso afectado?
- ¿Desde qué dirección IP, dispositivo o contexto de autenticación?
- ¿Qué acción se ejecutó exactamente y cuál fue su resultado?
- ¿Cuándo ocurrió, en qué secuencia, y con qué persistencia?
- ¿Hubo alertas, correlaciones, o evidencias previas relacionadas?
- ¿Los logs fueron preservados con integridad verificable?
Hallazgos frecuentes en auditorías reales
Durante procesos de revisión bajo marcos como PCI-DSS, ISO/IEC 27001 y SOX, detectamos errores sistemáticos como:
- Logs sin estandarización horaria (UTC), lo que impide la correlación entre sistemas
- Falta de integridad comprobable, al permitir la edición o eliminación de registros sin trazabilidad
- Ausencia de controles de acceso sobre los propios logs
- Trazabilidad interrumpida, al no contar con identificadores de sesión ni detalle de comandos ejecutados
- Políticas de retención imprecisas o inexistentes
Estos escenarios no solo comprometen la capacidad de respuesta ante incidentes, sino que constituyen una debilidad directa frente a auditorías regulatorias o requerimientos judiciales.
Implicancias legales y normativas
Un registro alterable, incompleto o inaccesible no tiene valor probatorio y puede derivar en:
- Pérdida de cobertura frente a aseguradoras de ciberseguridad
- Inhabilidad de cumplir con requerimientos del artículo 9 de la Ley 25.326 (Argentina)
- Incumplimiento de cláusulas de certificación PCI-DSS (controles 10.1 a 10.7)
- Riesgo de sanciones por fallas de debida diligencia ante incidentes con impacto público
Conclusión
Toda organización que opera en un entorno regulado o maneja datos sensibles debe poder responder con precisión a una única pregunta crítica:
¿Podríamos reconstruir un incidente de seguridad con los logs que tenemos hoy?
Si la respuesta es negativa, no es solo un déficit técnico: es una falla de gobernanza, cumplimiento y previsibilidad jurídica.
¿Desea verificar el nivel de madurez de su gestión de logs?
Ofrecemos auditorías técnicas, evaluación forense y asesoramiento normativo para mejorar trazabilidad y cumplimiento.
