La pista de auditoría

01En una frase #sec_311beda8

La pista de auditoría registra lo que ha sucedido en REVIEWIT — quién hizo qué, cuándo, sobre qué y con qué resultado — en una forma de la que se puede demostrar que no ha sido retocada posteriormente.

02Una precisión de vocabulario #sec_fbdaf12f

En REVIEWIT, la palabra auditoría siempre se refiere a la pista de auditoría: el rastro de las acciones realizadas en el producto.

La adquisición de datos del cliente — el inventario de sitios, grupos, accesos — se denomina recolección. Ambos no tienen nada que ver, y confundirlos lleva a buscar pruebas donde solo hay inventario.

03El problema #sec_9df23eaa

Una herramienta de recertificación produce pruebas sobre el sistema de información del cliente. Entonces surge inmediatamente una pregunta, y es la primera que hace un auditor serio:

¿Y la herramienta misma, qué prueba lo que ha hecho?

Sin respuesta, todo el dispositivo se basa en la confianza otorgada al operador. Pero los gestos que más importan son precisamente aquellos que un operador malintencionado tendría interés en borrar: haber excluido un recurso del alcance, haber implementado una delegación, haber cancelado una campaña, haber modificado una regla justo antes de una fecha límite.

De ello se derivan tres exigencias, y son más duras de lo que parecen:

Registrar los fallos tanto como los éxitos. Una pista que solo registra las acciones completadas solo prueba lo que funcionó. Los intentos rechazados, los accesos denegados, los errores de seguridad son a menudo la información más útil.

Resistir a quien tiene la base. Un rastro protegido por un mecanismo que el operador controla no es una prueba contra el operador.

Nunca sobrestimar su propia garantía. Una pista que anuncia más protección de la que ofrece es peor que una pista modesta: produce una confianza injustificada.

04El enfoque #sec_19917edd

La integridad de la pista no debe depender ni de un motor de base de datos ni de un proveedor de alojamiento.

Esa es la decisión estructurante, y se tomó en contra de varias soluciones más fáciles.

Las funcionalidades de inmutabilidad ofrecidas por los motores de base de datos modernos, las tablas temporales y los servicios gestionados de marcación temporal han sido descartados. Funcionan, pero desplazan la confianza hacia un tercero — el editor del motor, el proveedor de la nube — y encierran el producto: una pista de auditoría que no sobrevive a un cambio de alojamiento no es un activo del cliente.

La garantía es, por lo tanto, completamente aplicativo, soportado por el propio producto y verificable en cualquier lugar donde se ejecute. Esto es coherente con el resto de la plataforma, que se despliega en la región elegida por el cliente.

Tres principios complementan esta elección:

1. La base no se desactiva. No existe ninguna configuración que permita desactivar la pista de auditoría, de lo contrario se desactivaría la auditoría desde la auditoría. Lo que es configurable es la precisión de ciertos eventos de lectura, nunca el registro de las acciones.

2. Se escribe una acción desconocida de todos modos. El catálogo de acciones vive en la base y cuenta hoy cerca de doscientas cuarenta entradas. Pero si una versión del producto emite un código que el catálogo aún no conoce, el evento se escribe de todos modos. Rehusar registrar lo que no se sabe nombrar sería la mejor manera de crear un ángulo muerto.

3. Se anuncia lo que está realmente garantizado. El informe de verificación indica el nivel de protección efectivamente en vigor, nunca el que está previsto.

05Cómo funciona #sec_e77f0329

Dos caminos de captura

Es el punto de arquitectura más importante, y se deriva directamente del requisito «registrar los fallos».

El camino transaccional sirve a las acciones completadas. El evento se deposita en la misma transacción que el acto de negocio que describe. La consecuencia es absoluta: si el acto falla y la transacción se anula, no queda ninguna huella huérfana; si el acto tiene éxito, su huella existe necesariamente. No puede haber desfase entre lo que el producto ha hecho y lo que la pista cuenta.

El camino autónomo sirve para todo lo demás: intentos rechazados, fallos de autenticación, accesos denegados, errores de seguridad. Estos eventos no tienen, por naturaleza, ninguna transacción de negocio a la que aferrarse — el acto no ha tenido lugar. Sin este segundo camino, la pista solo probaría los éxitos.

El encadenamiento

Cada evento recibe un identificador, una posición de secuencia asignada en la escritura y una huella criptográfica que incluye la del evento anterior. La pista forma así una cadena: modificar un evento pasado invalida todos los siguientes.

Cada cadena se abre con un evento de génesis colocado en primera posición. Sin él, se podrían eliminar los primeros eventos de una cadena y presentarla como completa.

La forma exacta de los datos sometidos a la huella está normalizada y versionada: dos sistemas que verifican la misma pista obtienen el mismo resultado, hoy y dentro de cinco años.

El mecanismo ha sido probado contra siete formas distintas de alteración — modificación de contenido, eliminación, inserción, reordenamiento — todas detectadas.

Los tres niveles de garantía

El producto distingue explícitamente lo que garantiza y nunca pretende el nivel superior.

El informe de verificación está fechado y anuncia el nivel real. Mientras el sellado no esté en su lugar, indica «encadenamiento solo» — y sobre todo no N1. Esta disciplina es deliberada: un informe que sobreestima su garantía no vale nada ante un auditor que sabe leer.

La clave de sellado es dedicada

La clave que sella la pista de auditoría nunca es la que firma los documentos producidos por el cliente.

La razón es simple: quien puede firmar un informe no debe poder sellar la pista que prueba cómo se produjo ese informe. Separar los dos — y separar la base de auditoría del firmante — es la condición para que el sellado signifique algo.

06Lo que se registra y lo que no #sec_548db5ca

Los actos. Todo lo que modifica el estado del dispositivo: campañas creadas, lanzadas, canceladas; decisiones tomadas; exclusiones puestas y levantadas; delegaciones establecidas y revocadas; reglas modificadas; roles asignados; solicitudes de eliminación emitidas y tratadas; configuración cambiada.

Los intentos y los rechazos. Por el camino autónomo, como se explicó anteriormente.

Las lecturas — de manera gradual. Rastrear cada pantalla mostrada produciría un volumen que ahogaría la información útil. Por lo tanto, las consultas corrientes se muestrean, con tres excepciones registradas sistemáticamente:

• las exportaciones, porque sacan datos del sistema;
• las consultas de datos personales nombrados;
• las consultas de prueba, porque saber quién miró el archivo antes de una fecha límite tiene un valor de auditoría.

Las conversaciones con RITA — solo por huella. La pista registra que se hizo una pregunta y lo que resultó de ello, nunca el texto de la pregunta. Conservar el contenido de los intercambios equivaldría a constituir un historial de lo que los usuarios se preguntan, lo cual no es el objetivo de una pista de auditoría.

Los datos de demostración — marcados como tales. Los conjuntos de datos sintéticos siguen siendo posibles, pero su procedencia está marcada, y esta marca se propaga a todo lo que se deriva de ellos. Una demostración nunca debe poder confundirse con la producción.

07Quién ve qué #sec_1be12c7e

La visibilidad es descendente: el administrador de un workspace ve los eventos de nivel de suscripción que designan su workspace — la creación de su perímetro, la atribución de sus funcionalidades, la modificación de su asignación.

Es el complemento necesario de la gobernanza delegada: una entidad a la que se le confía la autonomía debe poder constatar las decisiones tomadas por encima de ella que la conciernen. Sin embargo, no ve nada de las otras entidades.

El auditor dispone de un acceso de lectura estricta a toda la pista de su perímetro, y de un motor de búsqueda para navegar en ella.

08Una elección asumida: el inicio en blanco #sec_c32441da

La nueva pista de auditoría no retoma el historial de la antigua.

No es una renuncia técnica. El antiguo registro no ofrecía ninguna garantía de integridad, su cobertura era parcial y su vocabulario ambiguo. Retomarlo equivaldría a introducir en una cadena sellada datos de los que no se puede afirmar nada, y por lo tanto hacer creer que disfrutan de una garantía que nunca tuvieron.

Mejor una pista corta y sólida que una larga pista cuya primera mitad no prueba nada. El mismo razonamiento se aplica al reemplazo del dispositivo de autenticación.

09Lo que el auditor puede esperar #sec_7f268117

• Un informe de verificación fechado, que afirma que la cadena está intacta — o designa precisamente dónde no lo está.
• La certeza de que ninguna acción completada está ausente, por construcción transaccional.
• La traza de los rechazos, y no solo de los éxitos.
• El origen de cada acto: el autor, la superficie, el momento, el objeto, y el estado antes/después cuando tiene sentido.
• Una exportación incremental, para verter la pista en su propia herramienta de análisis o su SIEM.

10Para recordar #sec_cc1ba3dd

Un producto de conformidad que no puede dar cuenta de sus propios actos pide que se le crea en su palabra. La pista de auditoría de REVIEWIT está construida para que no se tenga que hacer.

Es inseparable del producto — no desactivable, alimentada en la misma transacción que los actos que describe, incluso cuando estos actos fallan. Es independiente de la infraestructura, por lo tanto portátil y verificable en todas partes. Y es honesta sobre su propia fuerza: anuncia el nivel de garantía que realmente aporta, nunca el que pretende.