Cómo elegir registros según las preguntas que necesitarás responder

Escribe primero tres investigaciones posibles

Reúne a quien administra el servicio y a quien conoce el proceso. Para el correo, una pregunta puede ser quién creó una regla de reenvío; para facturación, quién cambió una cuenta de cobro. Define el periodo que necesitarías reconstruir y qué decisión tomarías con la respuesta. No confundas una lista de productos instalados con un catálogo de evidencias: un antivirus no demuestra por sí solo cambios en una aplicación SaaS.

Relaciona cada pregunta con su fuente

Anota servicio, evento, identidad, recurso, resultado e identificador que uniría la operación con otras fuentes. Distingue los registros de autenticación de los de actividad: entrar en una cuenta no acredita haber descargado un documento. La guía conjunta ACSC/CISA destaca el contexto y la coherencia de los eventos. Comprueba en la documentación del servicio si esa actividad se registra, con qué limitaciones y si está disponible en tu configuración.

Genera una acción controlada y búscala

Con autorización, realiza una modificación inocua en un recurso de prueba. Localiza el evento en origen y después en el repositorio central. Comprueba que aparece la cuenta correcta, la hora interpretable y el resultado, sin copiar el contenido del documento al registro. Si falta, distingue evento no generado, transporte fallido, retraso de ingestión y filtro de búsqueda incorrecto. Guarda el resultado como prueba de cobertura.

Decide también lo que queda fuera

Clasifica cada pregunta como respondible, parcial o sin evidencia. Asigna un responsable a las lagunas relevantes y una alternativa proporcionada: otra fuente o una revisión del proceso. Define quién consulta estos datos y cómo detectas que dejan de llegar. Un registro disponible ayer puede faltar hoy tras un cambio del proveedor. Repite la prueba cuando cambie la aplicación o la integración, sin presentar una muestra como cobertura completa de todas las acciones.

Ejemplo: reconstruir una regla de reenvío

En un escenario hipotético, el equipo quiere saber si alguien configuró un reenvío externo y después lo retiró. Necesita el registro de cambios de reglas, no únicamente el de acceso al buzón. La prueba consiste en crear y retirar una regla de ensayo sobre una cuenta autorizada, localizar ambas acciones y comprobar actor, objeto y resultado. Después se revisa si existe evidencia del tráfico enviado, que sería otra pregunta con otra fuente. Si solo aparece la modificación, la conclusión correcta es que puedes demostrar ese cambio; no que se enviaron mensajes ni qué contenían. Esa separación evita convertir un evento disponible en una explicación completa que los datos no sostienen. Documenta las dos coberturas y sus responsables por separado.

Fuentes y documentación

• ACSC, CISA y socios · Event logging — Guía conjunta: fuentes, contexto de eventos, coherencia de tiempo y protección de registros.