Cuánto tiempo guardar y cuánto cuesta

La retención no es una cifra que se copia de otra empresa. Sale de dos preguntas: cuánto tarda en descubrirse un incidente en esa fuente y qué exigen las políticas internas o las normas que aplican. Si un incidente suele descubrirse a los 40 días y el registro se guarda 10, la evidencia de su comienzo ya no existe cuando alguien por fin mira.

Por eso conviene mirar los incidentes pasados de la propia empresa: son la única medida local del tiempo de descubrimiento. La retención debe cubrir ese tiempo con margen, y la investigación posterior también necesita registro.

Abre volumen e incidentes. En una de las tres fuentes donde se vio un incidente real, el registro se guardaba menos días de los que el incidente tardó en descubrirse. Dicho de otra forma: cuando la empresa lo descubrió, el principio de la historia ya se había borrado.

Compara, fuente por fuente, el total de días de retención con los días hasta descubrir el incidente que se vio en ella.

El nivel caliente permite buscar al instante, y por eso cuesta más. El costo mensual de guardar una fuente en un nivel es el volumen que se acumula, que son los gigabytes por día multiplicados por los días que se guardan en ese nivel, por el precio del gigabyte-mes.

Esta cuenta es la que lleva la conversación con el director financiero del lado de los datos y no de la opinión. Calcula cuánto cuesta cada mes el nivel caliente de la fuente de flujos de red, la más pesada de la hoja.

El costo del nivel caliente asusta, y la salida fácil es reducir días. Pero hay otras palancas que no sacrifican la capacidad de detectar: mover a frío lo que se consulta poco después de las primeras semanas, quitar los campos que ninguna regla ni investigación usa, o no enviar al SIEM eventos de ruido que nadie ha consultado jamás.

Lo que no se hace es bajar los días por debajo del tiempo de descubrimiento ni quitar un campo que un caso de uso necesita.

Una política interna es una promesa con fecha y con dueño. La de registros pide para los de autenticación un mínimo de días y para la auditoría de la nube otro. La comprobación consiste en comparar esa promesa con los días totales que guarda cada fuente que la política menciona.

Recorre la tabla politica y compara con volumen. Una de las fuentes sujetas a política guarda menos días de los exigidos.