Evidencia en la que confía un auditor

Cuando un auditor pregunta qué ocurrió, «creemos que» no es una respuesta. La evidencia en la que puede confiar un auditor registra qué se detectó, por qué coincidió, quién lo hizo, adónde iban los datos y qué hizo el sistema. Está firmada, de modo que no se puede cambiar sin dejar rastro, y se guarda en un lugar con reglas claras sobre quién puede leerla. Todo lo demás es un relato.

Por qué los registros no bastan

La mayoría de las organizaciones tiene registros de sobra. Lo que suele faltar es una respuesta. Una línea de registro dice que un archivo se movió. Rara vez dice qué era ese archivo, por qué debería importar o qué política había en ese momento.

Una pregunta de auditoría suele ser más concreta que los datos disponibles. ¿Quién envió este contrato fuera y tenía permiso? ¿Qué hicieron al respecto? ¿Cómo saben que el registro está completo? Seis sistemas con registros parciales no responden a eso. Generan una semana de trabajo para alguien y un resultado que sigue teniendo huecos.

Qué contiene un evento útil

Un buen evento responde a cinco preguntas en una sola pantalla.

• ¿Qué se detectó? El archivo o el contenido, y su etiqueta.
• ¿Por qué coincidió? La regla y el detector que hay detrás: una huella, un patrón validado, un clasificador.
• ¿Quién lo hizo? El usuario y el equipo.
• ¿Adónde iba? El canal y el destino.
• ¿Qué ocurrió? Se permitió, se advirtió, se pidió un motivo, se registró o se bloqueó.

La segunda pregunta es la que más tiempo ahorra. Si una decisión se explica sola, el analista no tiene que reconstruirla y el auditor no tiene que creérsela sin más. Saber por qué coincidió es también lo que permite corregir las falsas alarmas, porque se ve la regla demasiado amplia.

Firmada, para que no se pueda editar

Un registro de auditoría solo vale algo si nadie puede retocarlo después. Eso incluye a los administradores y a quienes tienen buena intención. Cada evento de GuardStance deja evidencia firmada, de modo que lo que se muestra al auditor es lo que ocurrió. El acceso al registro de auditoría también queda anotado, lo que responde a la siguiente pregunta que suele hacer un auditor.

Esto cambia la conversación. Ya no pide a nadie que confíe en su equipo. Le muestra un registro que no depende de la confianza.

La evidencia también contiene datos sensibles

Aquí hay una trampa. La evidencia de una fuga puede contener los datos filtrados, de modo que manejarla con descuido crea una segunda exposición. Unas pocas reglas lo mantienen bajo control.

Guarde copias solo cuando una regla lo pida. La mayoría de los eventos no necesita el archivo. Captúrelo como copia oculta solo donde la política lo indique.

Separe ver de investigar. El acceso por roles puede limitar quién ve qué según el canal, la acción y el departamento. Un rol de revisor sin acceso al contenido permite comprobar que el proceso funciona sin leer lo detectado.

Enmascare lo que ven los usuarios. A quien se le avisa de que su mensaje se ha detenido no hace falta repetirle el valor que coincidió.

Mantenga el contenido fuera del SIEM. Los metadatos del evento pueden ir a su SIEM; el contenido sensible, no.

Fije la conservación a propósito. Por defecto, GuardStance conserva los eventos 400 días, suficiente para comparar un año con otro, y el registro de auditoría 24 meses. Su organización puede acortar estos plazos, y ayuda dejar por escrito por qué los eligió.

De los eventos al caso

Un auditor rara vez quiere un solo evento. Quiere la historia de un incidente: cuándo empezó, qué encontró quien lo investigó, quién decidió qué y cómo terminó. Agrupar los eventos en un caso con cronología y notas le da esa historia, y da a su equipo una forma de traspasar el trabajo.

Las comparaciones entre periodos también ayudan. Poder mostrar que un tipo de evento bajó después de cambiar una política tiene más fuerza que decir que las cosas mejoraron.

Preguntas para probar su propia evidencia

Elija un incidente reciente y pruebe con estas.

• ¿Puede una sola persona, en una sola pantalla, decir qué ocurrió y por qué coincidió?
• ¿Podría alguien haber editado ese registro sin dejar rastro?
• ¿Quién puede leer el contenido que hay detrás y consta por escrito?
• ¿Cuánto tiempo se conservará el registro y por qué tanto?

Si responder lleva una semana, el auditor lo notará. Si lleva unos minutos, la auditoría se convierte en una conversación mucho más corta.

Lea cómo Investigations mantiene junta la evidencia.