La retención
01Conservar con una razón, eliminar con una prueba #sec_9021b67c
La retención no consiste en aplicar la misma duración a toda una base. Una plataforma de gobernanza contiene datos de naturalezas muy diferentes: información de trabajo reemplazable, decisiones probatorias, secretos criptográficos, registros técnicos y estadísticas anonimizadas. Conservarlos o eliminarlos de la misma manera produciría una acumulación injustificada o la destrucción prematura de una prueba.
REVIEWIT asocia cada categoría de datos a una clase, un desencadenante y una regla de fin de vida. La duración es solo una parte de la regla. Para algunos objetos, la elegibilidad para la purga depende de una relación: una atestación aún viva puede prolongar su instantánea, una obligación de remediación abierta no puede ser eliminada, un paquete de verificación sigue exactamente la atestación que sirve.
El principio rector es doble: no conservar nada sin finalidad y nunca hacer que una prueba sea inverificable eliminando uno de sus componentes demasiado pronto.
02Cuatro clases, cuatro fines de vida #sec_9eecf111
C1 — Datos operativos. Son vivos, reemplazables o reproducibles: archivos temporales, cachés, exportaciones generadas, notificaciones, registros técnicos. Su fin de vida es generalmente una eliminación física directa después de una duración corta o el fin de su utilidad.
C2 — Datos probatorias. Relatan un acto o apoyan una atestación: decisiones de certificación, pista de auditoría, obligaciones de remediación, manifiestos y constataciones. No se purgan como una línea ordinaria. Cuando participan en una cadena de integridad, la purga trabaja por conjunto coherente y deja un marcador que permite detectar que un contenido ha desaparecido legítimamente.
C3 — Datos criptográficos. Las claves, las generaciones de secreto, los recibos y los estados de autoridad tienen su propio ciclo gobernado por SEAL. Su duración no está mecánicamente sincronizada con los datos del negocio, pero nunca puede ser más corta que la de la prueba de la que dependen.
C4 — Datos derivados. Las estadísticas y los agregados pueden conservarse más allá de los datos de origen solo si se demuestra su anonimización irreversible.
La clase describe el mecanismo de fin de vida, no la importancia aparente de los datos. Un documento contable conservado durante diez años puede seguir siendo un dato operativo si, llegado el momento, su eliminación es ordinaria.
03Una política por perfil, con límites #sec_bf13aace
El perfil Estándar proporciona un marco inmediatamente utilizable. A título de ejemplo, los resultados de certificación y la auditoría del negocio se conservan durante tres años, la auditoría de seguridad durante doce meses, los registros técnicos durante noventa días, las exportaciones durante treinta días y las copias de seguridad en una ventana deslizante dedicada.
Los perfiles Regulado o Personalizado pueden alargar ciertas duraciones. La personalización nunca es una entrada libre «para siempre»: conlleva un motivo, un aprobador, una fecha de efecto y una fecha de revisión. Sin renovación, la regla vuelve al perfil de referencia.
Dos límites impiden configuraciones incoherentes:
- un límite superior absoluto, que solo se puede superar mediante una excepción nominativa, motivada y revisada;
- un límite inferior para los datos expuestos a un consumidor externo mediante flujo incremental, para que la ventana de reproducción siga siendo realmente utilizable.
La ventana de copia de seguridad no es una duración de conservación mínima. Indica el plazo máximo antes de la eliminación completa de todas las copias. Un dato puede desaparecer de los sistemas activos después de treinta días y no ser completamente eliminado hasta después de la expiración de las copias de seguridad que lo contenían.
04Las dependencias priman sobre el calendario #sec_3bbd8efa
Una fecha sola no siempre es suficiente para autorizar una purga.
La instantánea de una campaña se conserva mientras una atestación viva la haga referencia. Una obligación de remediación no se vuelve elegible hasta que entra en un estado terminal y luego permanece protegida por las atestaciones a las que está vinculada. Los despachos, constataciones y actos del runbook siguen la obligación que documentan. El paquete de verificación sigue la atestación como una unidad inseparable.
Por el contrario, los registros técnicos de ejecución no adquieren una larga retención simplemente porque han contribuido a una operación probatoria. REVIEWIT conserva el resultado y la prueba útil, no indefinidamente cada detalle de explotación.
Este gráfico de dependencias evita dos errores clásicos: eliminar un soporte aún necesario o conservar todo «por si acaso» por no saber qué es realmente indispensable.
05Probar la purga sin conservar los datos purgados #sec_6d46e81c
Cada ciclo de retención produce un registro de ejecución: perímetro evaluado, regla aplicada, volúmenes tratados y motivos de las no purgas. Este registro no es eliminado por el mecanismo que documenta.
Para los datos encadenado o sellados, REVIEWIT conserva una prueba técnica no identificable de la purga. Permite distinguir una retirada autorizada de una alteración clandestina, sin recrear un identificador de objeto ni conservar el contenido eliminado.
El archivado y la purga siguen siendo dos operaciones diferentes. El archivado desplaza un contenido a un almacenamiento frío mientras mantiene su capacidad de restauración. La purga lo destruye sin retorno. El sistema hace visible esta frontera en sus estados y en los informes producidos.
06En resumen #sec_e5d20280
La retención en REVIEWIT es un motor de gobernanza, no un temporizador global. Tiene en cuenta la naturaleza de los datos, sus dependencias y las garantías esperadas. Sabe explicar por qué un dato permanece, por qué otro se va y produce una prueba duradera de la eliminación sin conservar lo que debía desaparecer.