El octavo Control CIS trata algo que solo se valora cuando ya es tarde: los registros de auditoría (logs). Son la memoria de tu infraestructura, el rastro de quién hizo qué y cuándo. Cuando ocurre un incidente, los registros son a menudo la única forma de reconstruir qué pasó, por dónde entraron y qué tocaron. Sin ellos, estás ciego: sabes que algo salió mal, pero no puedes contar la historia. El problema es que los registros hay que tenerlos antes del incidente; no se pueden generar hacia atrás.
Por qué importan tanto
Los registros sirven para dos momentos. Para detectar: correlacionados, revelan ataques en curso (es la materia prima de un SIEM). Y para investigar: tras un incidente, permiten entender el alcance —qué se comprometió, qué datos se tocaron, si el atacante sigue dentro—. Sin registros adecuados, la respuesta a "¿qué pasó exactamente?" es un encogimiento de hombros, y eso paraliza la respuesta y a menudo obliga a asumir lo peor. La ausencia de logs no solo dificulta: a veces hace imposible saber si una brecha fue de diez registros o de diez mil.
Qué pide en la práctica
- Generar registros en los sistemas relevantes: accesos, cambios, eventos de seguridad.
- Centralizarlos: juntarlos en un lugar seguro, en parte para poder analizarlos y en parte para que un atacante no pueda borrar el rastro local. Un log que vive solo en el equipo comprometido es un log que el atacante puede borrar.
- Conservarlos el tiempo suficiente: muchas brechas se descubren meses después, así que un log que se borra en días no sirve. Aquí importa registrar lo correcto por el tiempo correcto.
El aterrizaje honesto
Hay dos errores opuestos. Uno: no registrar casi nada, y descubrir en plena crisis que no hay pistas. Dos: registrar todo sin criterio, generando un océano de datos inútil, caro de guardar e imposible de revisar. El equilibrio es registrar lo que de verdad ayuda a detectar e investigar, centralizarlo a salvo y conservarlo un plazo sensato. No es el control más vistoso, pero el día de un incidente marca la diferencia entre "sabemos exactamente qué pasó y lo contuvimos" y "no tenemos idea, apaga todo por si acaso".