Cuando un regulador pregunta "¿Cómo sabes que esa persona aceptó recibir correos de marketing?" o "¿Puedes demostrar que ese envío se procesó correctamente?", necesitas pruebas. Los registros de auditoría y los informes de cumplimiento crean esas pruebas. Un registro de auditoría es un historial detallado de cada acción relacionada con los datos de formularios: quién accedió, cuándo, qué cambió y por qué. Sin él, no puedes demostrar que cumples las leyes de privacidad ni investigar incidentes de seguridad.
Este artículo explica por qué importan los registros de auditoría, qué registrar, cómo protegerlos y cómo usarlos para el cumplimiento y para investigaciones de seguridad.
Qué aprenderás: qué es un registro de auditoría y por qué es crítico, qué eventos registrar para la seguridad de los formularios, cuánto tiempo conservar los registros, cómo protegerlos frente a manipulaciones y cómo responder a las auditorías de los reguladores.
¿Qué es un registro de auditoría?
Un registro de auditoría es un historial cronológico de las actividades relacionadas con los datos. Responde a preguntas como:
- ¿Quién accedió a este envío de formulario?
- ¿Cuándo accedió?
- ¿Qué hizo con él?
- ¿Qué se cambió?
- ¿Por qué se cambió (si se anotó)?
- ¿De dónde vino la acción (dirección IP, cuenta de usuario)?
Un registro de auditoría es como una cámara de seguridad para tus datos. Graba lo que pasó para que puedas investigar si algo sale mal.
Por qué los registros de auditoría son esenciales
Demostrar el cumplimiento
Los reguladores preguntan: "¿Borraste estos datos en el plazo previsto? ¿Puedes demostrarlo?" Tu registro de auditoría muestra exactamente cuándo se hizo el borrado y si fue automático o manual.
Investigar filtraciones
Si se roban datos, tu registro de auditoría muestra quién accedió a ellos. Puedes identificar a la persona responsable y entender cómo ocurrió la filtración.
Detectar amenazas internas
Si un empleado se está descargando todos los datos de clientes o los está vendiendo, el registro de auditoría revela el patrón de acceso inusual.
Responder a solicitudes de datos
Si alguien solicita acceso a sus datos, tu registro de auditoría prueba que se los entregaste y cuándo. Si solicita el borrado, tu registro prueba que los borraste.
Cumplir los requisitos normativos
El RGPD, HIPAA, PCI DSS y otras normativas exigen que registres y vigiles el acceso a los datos sensibles. Sin registros, suspendes la auditoría.
Qué registrar para la seguridad de los formularios
Eventos de envío de formularios
Registra cada envío de formulario:
- Cuándo se recibió el envío (marca de tiempo)
- Qué datos se enviaron (nombres de campo, no los valores completos de los campos sensibles)
- Desde dónde (dirección IP del visitante, navegador, tipo de dispositivo)
- Si el envío superó la validación y se aceptó o se rechazó
- Cualquier resultado de detección de spam o bots
Registros de acceso
Registra cuándo alguien accede a los envíos de formularios:
- Quién accedió a los datos (cuenta de usuario, correo)
- Cuándo accedió (marca de tiempo)
- Qué datos consultó (ID del envío o los campos de datos)
- Desde dónde (dirección IP, ubicación de acceso)
- Durante cuánto tiempo accedió
Registros de modificación de datos
Registra cualquier cambio en los datos del formulario después del envío:
- Quién hizo el cambio
- Qué se cambió (valor anterior frente a valor nuevo)
- Cuándo se cambió
- Por qué (campo de motivo opcional)
Registros de borrado
Registra todos los eventos de borrado de datos:
- Qué datos se borraron (ID de los envíos o un resumen)
- Cuándo se borraron
- Por qué se borraron (política de conservación automática, solicitud del usuario, borrado manual de un administrador)
- Quién lo inició (el sistema automático o qué administrador)
Eventos de consentimiento y cumplimiento
Registra las acciones relacionadas con el consentimiento:
- Cuándo se dio o se retiró el consentimiento
- A qué dio su consentimiento la persona (qué casillas)
- Versión de los términos de consentimiento que vio
- Información de dirección IP y dispositivo
- Marca de tiempo del consentimiento
Registros de accesos fallidos y de actividad sospechosa
Registra los eventos de seguridad:
- Intentos de acceso fallidos (nombre de usuario, dirección IP, marca de tiempo)
- Patrones de acceso inusuales (descargas grandes de datos, accesos desde ubicaciones inusuales)
- Cambios de permisos (quién puede acceder a qué datos)
- Escalada de privilegios (cuando alguien obtiene permisos más altos)
Cómo proteger los registros de auditoría
Almacenamiento de una sola escritura
Guarda los registros donde no puedan modificarse ni borrarse después de crearse. Se llama almacenamiento "write-once" o WORM (Write Once, Read Many). Así evitas que los atacantes borren sus huellas eliminando entradas del registro.
Almacenamiento separado de producción
Guarda los registros en un servidor o sistema distinto de tu base de datos principal. Si el sistema principal se ve comprometido, los registros siguen a salvo y disponibles para la investigación.
Cifra los registros
Los propios registros contienen información sensible. Cífralos en reposo y en tránsito. Solo las personas autorizadas deberían poder leerlos.
Registro centralizado
Si tienes varias aplicaciones y servidores, envía todos los registros a un servicio de registro central. Así evitas que un sistema comprometido haga que se pierdan registros.
Vigila los registros en tiempo real
No te limites a recoger registros y olvidarte de ellos. Configura alertas para eventos sospechosos:
- Varios accesos fallidos desde la misma IP
- Acceso a los datos desde ubicaciones inusuales
- Descargas masivas de datos
- Borrado de grandes cantidades de datos fuera del calendario habitual
Cuánto tiempo conservar los registros
Los registros de auditoría deben conservarse más tiempo que los datos que cubren:
- Registros de envíos de formularios: al menos tanto como los datos del formulario (a menudo de 1 a 7 años)
- Registros de acceso: de 6 meses a 1 año como mínimo (el RGPD recomienda 1 año)
- Registros de accesos fallidos: 90 días como mínimo, mejor 1 año
- Registros de borrado: mientras te puedan preguntar por el borrado (de 3 a 7 años)
- Registros de cumplimiento (consentimiento, etc.): tanto como los propios datos (con el RGPD, más tiempo del que guardas los datos del cliente)
Los registros son pruebas, así que guárdalos más tiempo del que crees. Si borras a un cliente dentro de 2 años, guarda el registro de que lo borraste de 3 a 5 años más, por si alguien pregunta.
Cómo responder a las auditorías de los reguladores con registros de auditoría
Cuando un regulador pide pruebas de cumplimiento, los registros de auditoría las aportan:
Auditoría de consentimiento del RGPD
El regulador pregunta: "¿Cómo sabes que esta persona dio su consentimiento para recibir marketing?"
Tú muestras: la marca de tiempo de cuándo marcó la casilla de "consentimiento de marketing", la dirección IP, los datos del navegador y la versión del texto de consentimiento que vio.
Auditoría de borrado de datos
El regulador pregunta: "¿Puedes demostrar que borraste estos datos a los 6 meses?"
Tú muestras: el registro de borrado con el ID del envío, la marca de tiempo del borrado y que lo inició el sistema automáticamente (lo que prueba que tu política de conservación funcionó).
Auditoría de acceso
El regulador pregunta: "¿Quién tuvo acceso a los datos de este cliente? ¿Accedió alguien sin autorización?"
Tú muestras: registros de acceso con todas las personas que accedieron a los datos, cuándo y desde dónde. Señalas que todos los accesos fueron de empleados autorizados, en horario laboral y desde ubicaciones esperadas.
Respuesta a incidentes de seguridad
El regulador pregunta: "¿Cómo ocurrió esta filtración? ¿Cuántas personas accedieron a los datos?"
Tú muestras: registros de acceso detallados que acotan quién pudo extraer los datos, cuándo y cuántos datos se consultaron. Identificas el punto exacto en el que el acceso no estaba autorizado o el sistema se vio comprometido.
Usar los registros en investigaciones internas de seguridad
Los registros de auditoría te ayudan a investigar problemas:
Encontrar datos corruptos
Si un dato es incorrecto, los registros muestran quién lo cambió, cuándo y desde qué valor. Así puedes rastrear el problema hasta su causa.
Investigar sospechas de amenazas internas
Si sospechas que un empleado accede a datos de forma indebida, los registros muestran exactamente a qué accedió y cuándo.
Responder a quejas de privacidad
Si alguien se queja de que sus datos no son exactos o de que se accedió a ellos sin permiso, los registros aportan pruebas de lo que pasó de verdad.
Dar formación en seguridad
Usa los registros para formar a los empleados en seguridad. Muestra ejemplos de buenas prácticas y de errores sacados de los registros para que el equipo aprenda.
Automatización y alertas
No revises los registros a mano cada día. Configura la automatización:
- Alertas ante patrones sospechosos: varios accesos fallidos, descargas masivas de datos, horas de acceso inusuales
- Genera informes de cumplimiento automáticamente: informes mensuales o trimestrales con la actividad de acceso, borrado y consentimiento
- Automatización de la conservación: borra automáticamente los registros cuando termina su plazo de conservación
- Archiva los registros antiguos: pasa los registros de más de 1 año a un almacenamiento más barato para la conservación a largo plazo
Errores comunes con los registros de auditoría
No registrar suficiente detalle. "El usuario accedió a los datos" no basta. Necesitas la IP, la hora, qué datos y durante cuánto tiempo.
Registrar en el lugar equivocado. Si los registros están en el mismo servidor que tu aplicación, una filtración puede borrar ambos.
No revisar los registros con regularidad. Los registros no sirven de nada si nadie los mira. Configura alertas automáticas.
Borrar los registros demasiado pronto. Las auditorías de los reguladores pueden preguntar por actividades de hace años. Guarda los registros más tiempo del que crees necesario.
No cifrar los registros. Los registros contienen información sensible. Protégelos igual que proteges los propios datos.
Qué hace WEMASY con los registros de auditoría
WEMASY registra automáticamente todos los envíos de formularios, los accesos a los envíos, las modificaciones de datos y los borrados. Cada acción lleva su marca de tiempo y se atribuye a un usuario o al sistema. Los registros están cifrados y se almacenan separados de los datos de tus formularios. Puedes ver los registros de acceso en tu cuenta, y WEMASY ofrece informes de cumplimiento que resumen la actividad de consentimiento, borrado de datos y acceso. Los registros se conservan durante 3 años y están disponibles para auditorías de los reguladores.
Descubre más sobre el registro y los informes de cumplimiento en los ajustes de tu cuenta o en la página de precios.