Requisitos de registro y retención de logs comparados
Todos los marcos principales exigen registros de auditoría. Sorprendentemente pocos indican cuánto tiempo conservarlos. Aquí se explica quién fija un plazo, quién no lo hace y cómo elegir uno que los satisfaga a todos.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
El registro de auditoría es casi universal: diez de los once marcos que correlacionamos lo exigen (el RGPD (GDPR) es la excepción, y aun así los registros son la forma de investigar una brecha). Lo que exigen difiere en dos aspectos: qué registrar y cuánto tiempo conservarlo. El segundo es donde los equipos suelen atascarse, porque solo unos pocos marcos dan un número.
Quién exige qué
| Marco | Registro y auditoría | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.PS-04DE.AE-03 | Definición del tema |
| ISO 27001 | A.8.15A.8.17 | Correspondencia |
| CIS v8.1 | CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12 | Correspondencia |
| SOC 2 | CC7.2 | Editorial |
| PCI DSS | 10.2.110.3.210.5.110.6.1 | Correspondencia |
| CMMC | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Correspondencia |
| 800-53 | AU-2AU-3AU-11AU-12 | Correspondencia |
| HIPAA | §164.312(b) | Correspondencia |
| GDPR | — | Sin correspondencia en nuestros datos |
| NIS2 | 3.2 | Correspondencia |
| Essential Eight | ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623 | Editorial |
Detalle completo y motivo de cada vínculo: Registro y auditoría en todos los marcos →
Qué registrar
Los marcos más específicos enumeran eventos. PCI DSS exige que los registros capturen el acceso individual de los usuarios a los datos de titulares de tarjetas, todas las acciones administrativas, el acceso a los propios registros, los intentos de acceso no válidos, los cambios en las credenciales de identificación y autenticación, el inicio y la detención del registro, y la creación y eliminación de objetos a nivel de sistema (10.2.1.1 a 10.2.1.7), cada uno con usuario, tipo, hora, resultado y origen (10.2.2). Los CIS Controls añaden registros detallados de DNS, URL y línea de comandos (8.5 a 8.8). SP 800-53 y CMMC exigen definir los eventos que se registran (AU-2; AU.L2-3.3.1). ISO 27001 (A.8.15) y SOC 2 (CC7.2) exigen un registro acorde con sus riesgos.
Cuánto tiempo conservar los registros
| Marco | Retención |
|---|---|
| PCI DSS | Al menos 12 meses, con los últimos tres meses inmediatamente disponibles (10.5.1) |
| CIS Controls | Al menos 90 días (8.10) |
| SP 800-53 | Un periodo que usted define (AU-11) |
| CMMC Level 2 | Durante el tiempo necesario para supervisar, analizar, investigar e informar (AU.L2-3.3.1) |
| ISO 27001, SOC 2 | No especificado; lo fija su evaluación de riesgos y sus obligaciones legales |
| HIPAA | No especificado para registros (la regla de seis años cubre la documentación) |
Elegir un periodo de retención
Si PCI DSS se aplica a cualquier parte de su entorno, 12 meses con tres meses en línea es la base evidente, y cumple con holgura el mínimo de CIS. Para el resto, también es un valor predeterminado razonable: lo bastante largo para investigar incidentes descubiertos meses después, algo habitual, y lo bastante corto para almacenarlo con un coste asumible. Ajústelo según la legislación y los contratos de su sector, y documente la decisión con su justificación, que es lo que buscarán los auditores de ISO y SOC 2.
Qué conservar, no solo durante cuánto tiempo
Los periodos de retención se aplican a los registros que importan para la investigación. Una clasificación práctica:
- Registros relevantes para la seguridad (autenticación, acciones privilegiadas, eventos de cortafuegos y EDR, acceso a datos sensibles): el periodo de retención completo, protegidos frente a cambios.
- Registros operativos (salida de depuración de aplicaciones, métricas de rendimiento): retención más corta, fijada por las necesidades de ingeniería.
- Registros que contienen datos personales: el tiempo necesario para la seguridad, sin exceder lo necesario, lo que mantiene cumplido el principio de limitación del plazo de conservación del RGPD.
Incluya los niveles en su política de registro para que la decisión de retención sea visible y defendible.
Conclusiones clave
- Diez de once marcos exigen registro de auditoría.
- Solo PCI DSS y CIS fijan periodos de retención.
- Doce meses, tres de ellos inmediatamente disponibles, es un valor predeterminado seguro.
- Proteja los registros frente a manipulaciones y revise los eventos de seguridad; PCI DSS exige revisión diaria.
Más allá de la retención
- Proteja los registros frente a manipulaciones (PCI 10.3.2, CMMC AU.L2-3.3.8): almacenamiento de escritura única o una plataforma central de registros con acceso restringido.
- Sincronice los relojes (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), o la correlación de eventos entre sistemas fallará.
- Revíselos: PCI exige revisión diaria de los eventos de seguridad (10.4.1); la mayoría de los demás esperan una revisión periódica, normalmente automatizada.
La página del tema Logging & Audit enumera cada requisito con su fuente, y el tema relacionado SIEM / SOC aborda el análisis. El análisis de brechas compara en detalle dos marcos cualesquiera.
Preguntas
¿Durante cuánto tiempo exige PCI DSS conservar los registros?
Al menos 12 meses de historial de registros de auditoría, con los tres meses más recientes inmediatamente disponibles para su análisis (10.5.1).
¿HIPAA establece un periodo de retención para los registros?
No. La Regla de Seguridad exige controles de auditoría (§164.312(b)), pero no establece ningún periodo de retención de registros. Su requisito de retención de seis años se aplica a la documentación obligatoria, como las políticas, no a los registros de auditoría.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.