Reconstruir una intrusión — los datos tocados

El registro de acceso dice qué ruta se pidió; el de auditoría de datos dice qué hizo la aplicación con la información: qué entidad leyó, cuántos registros devolvió, quién lo pidió y desde dónde. Es el único que permite acotar el alcance de una brecha en números y no en suposiciones: «se exportaron 2 300 pedidos» es una frase que se puede defender; «se descargó un archivo grande» no.

Para que sirva, debe registrar las acciones sobre datos sensibles de cualquier cuenta, también de las propias, y la cantidad de registros, no solo que la acción ocurrió.

Mira lo que hizo la cuenta comprometida sobre los datos y filtra lo que se exportó. La respuesta de esta tarea es el tamaño de la exportación de esa cuenta, no la de otra cuenta que también exportó ese día de forma normal. Esa cifra es la que irá en el informe, y a partir de ella se evalúa a quién hay que avisar.

La exportación lleva varios campos. Algunos son datos personales y la bodega los necesita para despachar; otros son datos personales que ese proceso no usa. Un archivo que lleva más datos de los que el trabajo necesita multiplica el daño cuando sale. Esto se llama minimización: cada proceso lleva solo lo que necesita, y es una medida que se corrige en la aplicación, antes de cualquier incidente.

Después de entrar, un intruso suele asegurarse de poder volver aunque le cambien la clave. Una forma es crear un token de acceso a la API que no vence. Por eso, junto al registro de datos se revisa el de cambios: lo que alguien configuró o concedió durante la sesión sospechosa. Mira los cambios del día y localiza el que no corresponde a ningún ticket.

Tienes el alcance (cuántos registros y de qué tipo), el dato de más y la puerta abierta. El orden importa: primero se corta lo que el intruso todavía puede usar, luego se conserva lo que servirá como evidencia, y de inmediato se informa a quien decide si hay que avisar a los titulares y a la autoridad. La decisión de notificar la toma el responsable de datos personales de la empresa con la norma aplicable a la vista; el analista le entrega los hechos, no la decisión.