Gestión de registros según NIST SP 800-92

La guía describe la gestión de registros como una infraestructura (generar, transportar, almacenar, analizar y eliminar) más un plan: quién es responsable de cada fuente, qué política dicta qué se registra y cuánto se guarda, y qué procedimientos se siguen para revisarlos. Un SIEM es una pieza de la infraestructura; sin responsables ni revisión, recibe datos que nadie vigila.

Por eso un plan útil lleva, para cada fuente, un responsable con nombre de área, la forma de transporte, la rotación local, la retención central y la frecuencia de revisión.

Abre plan. La columna responsable dice quién responde por la fuente y revision, cada cuánto se mira. Una fuente sin responsable no tiene a quién llamar cuando se detiene.

flujo_del_dia cuenta, por fuente, los eventos que el origen dice haber generado y los que el SIEM recibió. La diferencia es la pérdida. No toda pérdida se ve en una alerta: casi siempre aparece al comparar los dos números. Compara con el transporte del plan.

Pon el número a la pérdida de esa fuente: es lo que se le dirá a su responsable, que no se convence con adjetivos sino con un porcentaje y un día.

Un transporte por UDP no confirma la entrega: si la red o el receptor se saturan, el origen sigue enviando y nadie lo sabe. La corrección no es guardar más tiempo ni rotar más rápido, porque los eventos perdidos nunca llegaron a guardarse. Se cambia el transporte por uno con acuse y se vigila la relación entre lo que cada fuente suele producir y lo que el SIEM recibe.