Escenario — la auditoría que pide 12 meses y hay 40 días

El periodo auditado va del 1 de octubre de 2025 al 30 de septiembre de 2026, 365 días. Para el servidor del ERP, retencion_actual dice cuántos días tiene el SIEM y si hay respaldo mensual de sus registros en algún otro lado. Con eso, calcula los días del periodo de los que no existe ningún registro de ese servidor.

Para el controlador de dominio sí hay respaldos mensuales de su registro de seguridad. Revisa respaldos_srv_dc01 y la fecha desde la que el SIEM tiene datos de esa fuente, y cuenta los días consecutivos del periodo que quedan entre el último mes respaldado y el primer día del SIEM, sin ningún registro.

La auditoría exige integridad demostrable. De los meses respaldados, uno no tiene huella registrada al exportarse: existe el archivo, pero no se puede demostrar que no cambió.

La tercera exigencia es hora sincronizada. En sincronia hay dos fuentes del alcance. Una cumple con holgura y la otra no puede sostener la exigencia: sus eventos no se pueden ordenar con los del resto sin un desfase conocido y una fecha de medición razonable.

Tienes cobertura parcial, un hueco en el dominio, un servidor casi sin historia, un mes sin huella y un reloj sin sincronizar. Mañana el cliente quiere una respuesta. Hay maneras de quedar bien hoy que se vuelven problema el día en que alguien comprueba.