Pistas de auditoría en aplicaciones

Una pista de auditoría útil responde a seis preguntas sobre cada cambio: quién lo hizo, qué objeto y qué campo tocó, cuándo, con qué valor anterior y qué valor nuevo, desde dónde y por qué. El control 8.15 del Anexo A de ISO/IEC 27001:2022 (registro de eventos) pide producir, proteger y revisar esos registros, y el 8.17 (sincronización de relojes) pide que las horas de los sistemas coincidan para poder ordenarlos.

Una pista que solo dice «se modificó un proveedor» no reconstruye nada. Y una que registra hechos pero no se puede proteger es evidencia que el mismo administrador puede reescribir.

Una acción solo se puede atribuir a alguien si la cuenta es de esa persona. Una cuenta genérica compartida por varias personas rompe la atribución: la pista dice que «la cuenta» hizo el cambio, pero no quién. Además impide la responsabilidad individual y borra el valor de cualquier otro control que dependa de saber quién hizo qué.

Cruza la pista con la lista de cuentas: para cada usuario que aparece en ella, mira cuántas personas dicen usarla.

Los identificadores de una pista se asignan en orden y sin saltos. Un salto en la secuencia significa que hubo eventos que existieron y ya no están en la exportación, o que nunca se grabaron. No prueba por sí solo que alguien borrara algo, pero impide afirmar que la pista es completa, y es motivo para pedir explicación y, si no la hay, para limitar la conclusión.

Lee SELECT * FROM pista_de_auditoria y recorre los identificadores de arriba abajo.

El cambio de una cuenta bancaria de un proveedor es un punto clásico de riesgo: quien lo controla puede desviar pagos. Por eso el control esperado es que cada cambio de ese tipo tenga detrás un soporte (la carta del proveedor, una verificación por otro canal). En la pista, ese soporte está en el campo motivo.

Compara los cambios de cuenta_bancaria entre sí: cuáles llevan un motivo con soporte y cuál lo deja vacío, y quién lo hizo.

Una pista se protege con tres decisiones: que ningún usuario, ni siquiera un administrador de la aplicación o de la base de datos, pueda editarla o borrarla; que se envíe en tiempo casi real a un repositorio de registros aparte, administrado por otro equipo; y que los campos que la hacen útil, como el motivo, sean obligatorios cuando el riesgo lo pide.

Lee SELECT * FROM configuracion_de_la_pista y compara cada parámetro con esas tres decisiones.