Registro e integridad exigidos

PCI DSS pide conservar el historial de los registros de auditoría al menos doce meses, y que los últimos tres meses estén disponibles de inmediato para análisis. Los doce meses son el mínimo de conservación; los tres meses son una exigencia de disponibilidad dentro de ese periodo, no otro plazo aparte.

«De inmediato» significa consultable ahora, no restaurable desde un archivo frío en horas o días. Lo más antiguo puede estar en un almacenamiento más barato mientras siga protegido y recuperable.

La política de Aldaba manda que todo registro del CDE se envíe al SIEM. Abre fuentes-de-registro.csv. Un registro que se queda en el sistema que lo produce puede borrarlo quien comprometa ese sistema, y además nadie lo correlaciona con los demás.

La política enumera siete clases de eventos que los sistemas del CDE deben registrar. Abre eventos-por-sistema.csv: cada columna es una clase. Una columna con «no» en un sistema suelto puede ser un descuido; una con «no» en todos es un hueco de diseño. Y es el hueco más peligroso cuando es el que avisa de que alguien apagó el registro.

La política de Aldaba exige noventa días de disponibilidad inmediata, que es la lectura práctica de los tres meses. Mira la columna dias_inmediatos de las fuentes y cuenta las que quedan por debajo de ese mínimo.

El control de integridad de Aldaba es una cadena: cada segmento del registro lleva el resumen del anterior, de modo que cambiar un segmento rompe el enlace con el siguiente. Abre verificacion-de-integridad-abril.txt. El último renglón dice que el operador no abrió incidente porque «será un error de copia»; esa explicación se prueba, no se supone.