Retención y cumplimiento

Dos cosas fijan la retención de una fuente. La primera es lo que la organización debe guardar: su política de registros, sus contratos y las normas que le apliquen según el sector y el país. La segunda es lo que un incidente necesita: casi siempre se descubre semanas después de empezar, así que una retención menor que el tiempo típico de detección deja al equipo reconstruyendo con la mitad del rompecabezas.

El costo de almacenamiento importa, pero es la restricción con la que se diseña, no el criterio que dice cuánto hace falta. Las normas concretas las confirma el área legal o de cumplimiento de cada organización; este módulo no cita ninguna y no es asesoría jurídica. Lo que se aprende aquí es a leer la brecha entre lo exigido y lo real.

Muchos SIEM separan además un almacén caliente (búsqueda rápida, caro, pocos días) de uno frío o de archivo (barato, recuperable en horas): el dato sigue existiendo aunque ya no salga en una búsqueda normal.

Una tabla de política contra realidad es el primer entregable de esta sala. Para cada fuente hay tres números: los días que la política exige, los días que están en el SIEM (búsqueda rápida) y los días que se conservan en total, contando el archivo frío. Los días del SIEM están dentro de los totales; no se suman.

La brecha de una fuente son los días exigidos menos los totales. Si da cero o negativo, cumple. Si da positivo, la organización no puede reconstruir ese pasado, y eso va al informe como hallazgo propio, no como nota al pie.

La política dice qué debería haber; la tabla de disponibilidad dice qué hay. Para cada fuente interesa el día más viejo que existe en su almacén más profundo (el archivo frío, o el propio disco del servidor cuando la fuente no llega al SIEM). Si ese día es posterior al primer rastro del caso, lo ocurrido ese día en esa fuente ya no se puede recuperar.

Esto cambia la forma de redactar: de esa fuente no se dirá «no hay actividad de la cuenta», sino «la fuente no conserva datos de esa fecha». Son afirmaciones distintas, y solo la segunda es verdad.

Cuando lo que importa sigue existiendo pero está a punto de caducar, la medida es una conservación del caso: pedir por escrito al responsable del almacén que suspenda la rotación o el borrado de lo relevante, con la fuente, el rango de fechas y el motivo, y exportar mientras tanto lo que se pueda con su resumen hash. Se anota quién lo pidió, a qué hora y quién lo aceptó.

Restaurar «todo» al SIEM sin pensarlo es otra cosa: consume capacidad, mezcla datos y no protege nada del borrado, porque lo restaurado también caduca. Y esperar a cerrar el caso para conservar es perder justo lo que se está investigando.