Plan de retención

Los días de retención de una fuente salen del requisito más exigente que le aplique: un contrato con un cliente, una exigencia de la aseguradora, una norma del sector o la política interna. Una fuente puede tener varios, y manda el mayor. El tamaño del disco o el valor por defecto del producto son restricciones de implementación, no requisitos.

Una investigación también pesa: si el tiempo que se tarda en detectar un incidente suele ser de meses, guardar solo semanas deja la evidencia fuera de alcance justo cuando hace falta.

Abre requisitos_de_retencion (días exigidos y de dónde sale la exigencia) y retencion_actual (gigabytes por día y días guardados). La brecha de una fuente es lo exigido menos lo guardado. Una brecha de cero significa que se cumple.

Cada día de brecha, en cada fuente, son los gigabytes que esa fuente produce en un día. Multiplica brecha por gigabytes diarios, fuente por fuente, y suma. Es el almacenamiento adicional que hace falta para cumplir todo lo exigido, antes de comprimir.

No todo el historial necesita consulta inmediata. Lo habitual es dividir: los primeros días en un nivel de consulta rápida, donde se escriben las detecciones y se investiga, y el resto en un archivo comprimido, más barato, que se restaura cuando una auditoría o un caso lo pide. Lo que no se puede abandonar es la integridad de lo archivado: huella al escribir y comprobación al restaurar.