Retención y custodia de evidencia

Retener es conservar la evidencia durante un plazo. Lo fija la política interna y, cuando existe, lo que exija el auditor, la regulación o un contrato. Custodiar es responder por ella: quién la guarda, quién puede cambiarla y cómo se demuestra que no se cambió. La cadena de custodia es el registro de ese recorrido.

Para la evidencia de nube, la custodia depende de la configuración del almacén: versionado para conservar copias anteriores, bloqueo de borrado para impedir que se elimine o reemplace antes de tiempo, cifrado y pocas personas con permiso de escritura.

Cuantas más personas pueden escribir en el almacén, más difícil es sostener que la evidencia no cambió. El auditor pregunta quién tiene permiso, no solo si alguien lo usó. Un lugar con quince personas que pueden reemplazar archivos es un lugar donde ninguna evidencia es creíble.

Abre SELECT * FROM almacenes.

La política interna debe ser tan larga como lo que el auditor, la regulación o el contrato exigen. Si es más corta, el sistema borra evidencia que luego hará falta. Es un error común: se pone un plazo por costo de almacenamiento sin revisar qué se pide.

Abre SELECT * FROM retencion y compara las dos columnas de plazo.

Un almacén sin bloqueo de borrado puede ser aceptable si lo que guarda es poco crítico, pero debe ser una decisión y no una omisión. Contarlos da la medida del trabajo pendiente antes de la próxima auditoría.

Cuando vence el plazo de retención, la evidencia puede borrarse. Hay una excepción importante: si hay un hallazgo abierto, una investigación o una disputa que dependa de ella, se suspende el borrado hasta que se cierre. Eliminar evidencia relacionada con un asunto abierto puede tener consecuencias legales y destruye la prueba que el propio equipo necesitaría.