Qué aporta un registro de actividad
Un registro de acceso conserva eventos relevantes producidos en un sistema: autenticaciones, consultas, modificaciones, exportaciones o cambios de permisos, según su configuración. Ayuda a investigar incidentes y comprobar el funcionamiento de los controles. No debe confundirse con una copia de seguridad: saber que se borró un documento no permite recuperarlo si no existe otro mecanismo de conservación.
Datos necesarios para interpretar el evento
Un evento útil identifica la cuenta o actor, la operación, el recurso, la fecha y el resultado. Puede necesitar contexto sobre origen y aplicación. Los relojes y zonas horarias deben permitir reconstruir la secuencia. Un mensaje genérico como error o acceso correcto, sin contexto suficiente, puede resultar inútil al relacionar sucesos entre el portal, el directorio y otros servicios.
Registrar sin multiplicar datos sensibles
El propio registro puede contener información personal. No conviene copiar contraseñas, tokens, resultados clínicos ni documentos completos en mensajes de diagnóstico. La confidencialidad sanitaria se aplica también a este circuito. Se define qué necesita el equipo de seguridad y qué información debe permanecer fuera de los registros generales o bajo controles específicos.
Integridad, acceso y conservación
Los eventos necesitan protección contra modificación o borrado no autorizado y un acceso limitado a responsables definidos. Se establece una conservación justificada por finalidad, obligaciones y riesgo, sin imponer un plazo universal a todos los sistemas. También se comprueba que el servicio sigue registrando: una interrupción silenciosa puede dejar sin evidencia precisamente el periodo que luego se necesita investigar.
Ejemplo de investigación
En un ejemplo hipotético, se detecta una exportación inusual de evaluaciones de varios centros. Los registros permiten relacionar cuenta, alcance y momento, y contrastarlo con una tarea autorizada. El análisis debe verificar los hechos antes de atribuir conducta a una persona: una cuenta compartida o comprometida puede hacer que la identidad registrada no corresponda al actor real.
De la evidencia a la respuesta
Guardar eventos sin revisarlos no equivale a detectar incidentes. Conviene definir alertas razonables, responsables y un procedimiento para preservar evidencia. La trazabilidad en SST incluye comprender qué cambió y por qué; los registros técnicos son una parte de esa explicación, no una prueba automática de que todo el proceso se realizó correctamente.
