Lo que la aplicación temprana de NIS2 nos dice sobre los registros de auditoría

La mayoría de las normativas de cumplimiento empiezan como un ejercicio de marcar casillas. Alguien confirma que el registro está activado, marca la casilla y el equipo sigue adelante. Pero NIS2 lo está cambiando. Los reguladores ahora exigen pruebas de sus controles. Preguntan si puede reconstruir lo que ocurrió y si alguien debería confiar en su registro. Porque si no puede mostrar quién hizo qué y cuándo, esos controles es como si no existieran.

Los reguladores quieren evidencias

Es difícil precisar los importes de las multas. Las cifras que circulan en línea varían según la fuente, y la UE aún no ha creado un registro central de sanciones. Sin embargo, el patrón reciente de aplicación nos dice más.

La BSI de Alemania ha emitido decenas de notificaciones formales. La ANSSI de Francia ha dictado órdenes para corregir problemas en los sectores de energía y transporte, y prefiere la corrección a las sanciones. En los Países Bajos, una revisión de empresas de infraestructura digital esencial reveló que más de un tercio tenía procedimientos débiles de notificación de incidentes y más de la mitad no tenía registrada una política de seguridad aprobada por la dirección.

Cada uno de estos hallazgos se reduce a la falta de pruebas.

Dónde están los requisitos reales

La mayor parte de la cobertura se detiene en el artículo 21, la parte de NIS2 que enumera diez medidas de seguridad generales. Pero ese artículo es general a propósito. El detalle que necesita está en el Reglamento de Ejecución (UE) 2024/2690 de la Comisión, en vigor desde noviembre de 2024. Convierte esas diez medidas en más de 150 controles específicos. El registro y la supervisión, los controles que respaldan su registro de auditoría, se tratan en la sección 3.2 del anexo.

El reglamento se aplica directamente a un grupo definido de empresas, entre ellas proveedores de nube y de centros de datos, proveedores de DNS, proveedores de servicios gestionados y mercados en línea. Las empresas ajenas a esa lista no están obligadas formalmente, pero sigue siendo el criterio que un regulador tiene más probabilidades de usar. (Nuestra descripción general del cumplimiento de NIS2 explica los criterios para saber si NIS2 se aplica a usted.)

Las normas suelen decir cosas como "cuando proceda" o "en la medida de lo posible", lo que suena a margen de maniobra. Pero hay una trampa: si decide que un requisito no se aplica a usted, tiene que dejar por escrito el motivo. Decidir no activar el registro en un sistema es aceptable si ha documentado el razonamiento. De lo contrario, es un hallazgo.

La prueba suele desaparecer antes de que nadie la busque

Los registros de seguridad de Windows en los controladores de dominio se sobrescriben por diseño. Cuando un registro alcanza un límite de tamaño, los eventos más antiguos dejan paso a los nuevos. Ese límite, probablemente fijado por alguien hace años para ahorrar espacio en disco, no tiene en cuenta las pruebas. En un servidor con mucha actividad, el registro puede renovarse en minutos.

Pero como el registro está activado y siguen llegando nuevas entradas, nadie nota la pérdida. Cuando un regulador pregunta por algo que ocurrió hace cuatro meses, decirle que "el registro estaba activado" no servirá de nada.

Dos cosas rápidas que puede hacer:

• Compruebe cuánto tiempo conservan hoy los registros sus controladores de dominio y servidores críticos. La configuración real importa más que el documento de política.
• Averigüe qué parte de su ventana de evidencias requerida puede buscar directamente su plataforma de auditoría. Los datos recientes suelen consultarse rápido, mientras que los más antiguos están en un archivo que puede requerir una restauración. Pruebe esa recuperación ahora. El artículo 23 de NIS2 le da 24 horas para una alerta temprana. Ese es un mal momento para descubrir que recuperar actividad de hace seis meses lleva días.

Los registros que un administrador puede editar no son evidencia

NIS2 espera que proteja sus registros frente a accesos y cambios no autorizados.

Piense en a quién estaría investigando: normalmente, una cuenta con derechos de administrador. Si sus datos de auditoría residen en sistemas que esa cuenta controla, uno de sus primeros movimientos puede ser borrar los registros. Y aunque Windows registra que un registro fue borrado, escribe esa entrada en el propio registro que acaba de vaciarse. Usted se entera de que se borró el historial, pero no de qué contenía.

Por eso "¿cuánto tiempo lo conservamos?" es la primera pregunta equivocada. Un archivo de siete años que un administrador puede editar es más débil que uno de seis meses que no puede tocar. Un registro en el que se pueda confiar necesita tres cosas:

1. Un sistema ajeno al entorno supervisado recopila y almacena los datos.
2. Quienes administran esos sistemas no pueden modificar el historial almacenado.
3. El almacén de auditoría registra cada cambio que se le hace.

La segunda es la que más empresas incumplen. La cuenta que recopila los datos de auditoría suele ser un administrador de dominio porque era lo más fácil de configurar. Así, un atacante que toma el control de un acceso de administrador también llega a las evidencias. Compruebe hoy quién tiene acceso de escritura a su base de datos y archivo de auditoría.

El tercer requisito es el más fácil de pasar por alto. Su plataforma debería avisarle cuándo se borraron los registros de auditoría, cuándo cambió la configuración de auditoría y quién ha consultado el almacén. Si no puede, sus evidencias no tienen evidencias que las respalden.

Seis pruebas que hacer antes de que las haga un regulador

Reserve dos horas, tome un cronómetro e intente obtener pruebas de cada uno de estos casos en su entorno real:

1. Se compromete una cuenta con privilegios. ¿Puede ver todo lo que hizo, en todos los sistemas y en orden?
2. Alguien obtiene permisos que no debería tener. ¿Puede saber quién se los concedió y cuándo, incluso a través de grupos anidados?
3. Cambia un ajuste crítico. ¿Puede mostrar cómo estaba antes y cómo está ahora?
4. Aparece una cuenta sospechosa. ¿Puede saber quién la creó y qué hizo después?
5. Un incidente afecta a varios sistemas. ¿Puede construir una cronología clara con la rapidez suficiente para respaldar la alerta temprana de 24 horas del artículo 23?
6. Alguien borró un registro de seguridad el martes pasado. ¿Lo sabría y podría demostrar cómo lo sabe?

Puntúe y anote el intervalo de fechas que pruebe. Los equipos suelen aprobar con la semana pasada, pero suspenden con el último trimestre. Esa diferencia es lo que muestra este ejercicio. Y "sí, pero llevó tres días y cinco equipos" es un suspenso. El reloj de 24 horas no se fija en cuántas personas necesitó.

Dónde encaja Netwrix Auditor

Las seis pruebas se reducen a una sola capacidad: un historial fiable de quién cambió qué, cuándo y cómo era antes, almacenado donde el entorno supervisado no pueda reescribirlo discretamente.

Netwrix Auditor reúne la actividad de cambios, acceso y administración de Active Directory, Entra ID, Microsoft 365, servidores de archivos, SQL Server y más en su propio almacén de auditoría. Su historial deja de depender del tiempo que un controlador de dominio conserve sus registros.

También hay un paquete de informes NIS2 que se corresponde estrechamente con las seis pruebas. Por ejemplo, Administrative Group Membership Changes cubre la prueba 1 y Account Permissions Reports cubre la prueba 2. Audit Log Clearing y Local Audit Policy Changes cubren la prueba 6, y Access to Archive Data muestra quién ha estado leyendo las propias evidencias. Una guía de correspondencia de requisitos de NIS2 le ayuda a mostrar a un regulador la línea que va de cada requisito a un informe.

Ninguna herramienta de auditoría le hace cumplir NIS2 por sí sola. El artículo 21 abarca mucho más que la supervisión, pero cada una de sus medidas tiene que acabar demostrándose, y la prueba procede de las evidencias de auditoría. Sin ellas, un control que funciona y uno que falta se ven igual para un regulador.

La conclusión

La aplicación temprana es una señal de hacia dónde se dirigen los reguladores europeos. El cumplimiento pasa de lo que dice su política a lo que usted puede demostrar.

Así que haga las seis pruebas y diríjalas a una fecha de hace cuatro meses. Si alguna falla, convierta su corrección en la prioridad de esta semana, antes de que un regulador encarezca esa misma corrección.