Administración
Qué mirar en el registro de actividad
Diez minutos al mes, y qué es exactamente lo que hay que mirar.
El registro lo guarda todo, y por eso mirarlo entero no sirve de nada. Lo útil es mirar cuatro cosas concretas, una vez al mes.
Las cuatro
- Cuentas que siguen activas de gente que ya no está.
- Descargas masivas: alguien que se baja de golpe mucho más de lo que necesita para trabajar.
- Accesos a horas o desde sitios que no encajan con esa persona.
- Cambios de permisos que nadie recuerda haber hecho.
| Lo que ves | Qué suele ser | Qué hacer |
|---|---|---|
| Descarga de 400 documentos un viernes | Alguien preparando una auditoría… o marchándose | Preguntar, sin acusar |
| Acceso a las 4 de la madrugada | Casi siempre una zona horaria distinta | Comprobar quién es y desde dónde |
| Un permiso ampliado sin motivo | Un cambio hecho deprisa y no revertido | Revisarlo y dejarlo como debía |
Importante
Encontrar algo raro no es acusar a nadie. La inmensa mayoría de lo que salta tiene una explicación normal, y preguntar antes de concluir es lo que hace que este hábito sea sostenible en un equipo pequeño.
Cuándo mirarlo de verdad
Cuando alguien se va en malos términos, cuando hay una reclamación, o cuando algo no cuadra. Ahí el registro deja de ser higiene y pasa a ser lo que responde la pregunta.
Ojo con esto
El registro no se puede editar, y eso es a propósito: un registro que el administrador pudiera retocar no valdría como prueba de nada.
›¿Cuánto se conserva?
Según vuestra política de conservación.
›¿Se puede exportar?
Sí, para una auditoría o para vuestro asesor.
›¿Ve el registro quién no es administrador?
No. Es información sensible sobre las personas del equipo.
Un caso real
La situación
Un administrador revisa el registro y ve dos cuentas activas de gente que se fue hace meses.
Qué haces
- Las cierra
- Comprueba que no se usaron desde entonces
Qué consigues
Diez minutos de revisión cierran dos puertas que llevaban medio año abiertas.
La situación
Se mira el registro solo cuando hay un problema.
Qué haces
- Revisa lo relevante con regularidad
Qué consigues
Lo raro se ve antes del incidente.
La situación
Aparece un acceso a una hora extraña.
Qué haces
- Comprueba con la persona antes de alarmarse
Qué consigues
La anomalía se explica o se atiende.
La situación
Alguien descarga muchos documentos de golpe.
Qué haces
- Consulta qué y por qué
Qué consigues
El movimiento se entiende.
La situación
Un auditor pide evidencia de supervisión.
Qué haces
- Enseña las revisiones hechas con su fecha
Qué consigues
La supervisión es demostrable.
La situación
El registro tiene demasiado ruido para leerlo.
Qué haces
- Filtra por lo que de verdad importa
Qué consigues
La revisión es abordable.
Este artículo responde a
- ver quién ha hecho qué
- registro de auditoría de la plataforma
- quién descargó ese documento
- detectar accesos indebidos