Registro inmutable de cambios

Un registro de cambios inmutable no es uno que nadie ha tocado: es uno que no se puede modificar o borrar sin que se note. Se logra con tres piezas que se refuerzan: solo se añade (nadie reescribe líneas), cada entrada guarda la huella de la anterior (si alguien cambia una, la cadena se rompe en ese punto) y hay una copia en un lugar que los administradores del sistema registrado no controlan.

PCI DSS v4.0.1 pide, en el requisito 10.3, que los registros de auditoría estén protegidos contra destrucción y modificaciones no autorizadas.

En el registro simulado, cada línea lleva su hash y el hash_previo de la línea anterior. Si todo está intacto, el hash_previo de cada entrada es igual al hash de la que la precede. Una discrepancia señala una entrada borrada, insertada o modificada, y es el primer lugar donde mirar.

Recorre el registro y busca la entrada cuya referencia al hash previo no coincide con la entrada anterior.

La cadena puede estar perfecta y aun así incompleta: solo prueba que lo registrado no se alteró, no que todo lo que ocurrió se registró. Para comprobarlo se cruza con otra fuente independiente. El orquestador de despliegues guarda su propia lista de lo que desplegó.

Compara las dos listas: cada despliegue del orquestador debería tener una entrada desplegar en el registro.

Los almacenes de objetos con bloqueo de retención suelen ofrecer dos modos. En el modo de cumplimiento, nadie, ni siquiera la cuenta raíz, puede borrar o acortar la retención antes de que venza. En el otro modo, quienes tengan un permiso especial pueden saltársela. Para un registro de auditoría de pagos, el segundo deja abierta justo la puerta que se quería cerrar.

Lee la configuración del almacenamiento y busca el modo con el que está guardado el registro.

La política de Calden pide 12 meses de historial, con los 3 más recientes disponibles de inmediato, alineada con el requisito 10.5.1 de PCI DSS v4.0.1. La configuración conserva 90 días y no tiene copia en otra cuenta. Hay una brecha entre lo que la política promete y lo que el almacenamiento hace, y se cierra tocando el almacenamiento, no el texto de la política.