Incidente de seguridad un lunes. Está buscando las IP en los registros del host: retención de 7 días, purga automática. Al mismo tiempo, la CNIL cuestiona los registros conservados durante cinco años “para su análisis” sin fundamento jurídico. Dos extremos, dos inconformidades.
Los registros son datos personales siempre que contengan IP, agente de usuario e identificadores. La retención debe ser limitada (Art. 5) y justificada por su propósito: seguridad, depuración breve, obligación legal poco común.
Tipología y duraciones indicativas
| Tipo de registro | Propósito | Duración actual | Nota |
|---|---|---|---|
| Acceso web (IP) | Seguridad, abuso | 6 a 12 meses | Documento en registro |
| Autenticación de administrador | Seguridad, auditoría | 12 a 24 meses | Acceso restringido |
| Depuración de aplicaciones | Depuración | 7–30 días | Desactivar producción |
| Borde CDN | Rendimiento + seguridad | Según CDN – leer DPA | A menudo EE.UU. |
| Registros de copia de seguridad | Reanudación | Copia de seguridad alineada | Cifrado |
Duración = punto de partida: su análisis de impacto establece la proporción.
Host frente a aplicación
Host: registros de infraestructura (Apache, firewall, hipervisor): política contractual, a veces no modificable.
Usted: registros de aplicaciones, auditoría empresarial: política interna, rotación, anonimización de IP.
Alinear el DPA: duraciones, acceso, baja por fin de contrato. Cruzar registro de host.
Duraciones del RGPD y registro
Ingrese cada tipo de registro en el registro de procesamiento con finalidad, duración, base legal y responsable técnico. Las duraciones indicativas del cuadro no reemplazan un análisis de impacto: un sitio de alto riesgo puede justificar doce meses de acceso a la web; una herramienta interna sin datos del cliente puede estar satisfecha en treinta días. Revise la política al menos una vez al año o después de un cambio de arquitectura (nueva CDN, nuevo host, SIEM).
También documente la eliminación al final del contrato: qué conserva el anfitrión después de la rescisión, dentro de qué plazo y cómo se recuperan los registros necesarios para una disputa en curso.
Registros de CDN y subcontratistas
Los registros perimetrales (Cloudflare, Fastly) tienen su propio DPA y duración predeterminados, que a menudo son diferentes de su política interna. Armonizar explícitamente: una CDN que mantiene la IP durante doce meses “por seguridad” mientras su registro indica seis meses crea una inconsistencia de auditoría. Lo mismo ocurre con las herramientas de análisis, APM y centralización: cada flujo debe tener documentado su propósito y duración, no solo “registros técnicos”.
Retención legal sin deriva
En el incidente: exportación o instantánea de los registros en cuestión a un almacenamiento forense aislado, retención del incidente documentado, sin prolongar indefinidamente la producción.
La cumbre: la retención es un equilibrio, no un máximo o un mínimo
Decide y avanza sin puntos ciegos
Haga un inventario de todas las fuentes de registro (host, CDN, aplicación) y asigne el propósito y la duración por tipo en el registro de procesamiento. Automatice la purga según estas duraciones y pruebe una restauración forense en una muestra trimestral. Alinee el DPA de alojamiento con el registro de alojamiento y consulte nuestras guías de cumplimiento para obtener plantillas de políticas internas.
Preguntas frecuentes
¿Cuánto tiempo se deben conservar los registros de IP web?
CNIL sin duración única: a menudo de 6 a 12 meses por motivos de seguridad si se justifica documentadamente; menos si tiene un propósito limitado. Más allá: anonimización o eliminación.
¿Registros de seguridad versus registros de aplicaciones?
Registros de seguridad/acceso: finalidad de seguridad, duración proporcionada. Registros comerciales (comportamiento del usuario): base legal estricta y minimización, no “seguridad” por defecto.
¿El anfitrión impone la retención?
A menudo sí en infraestructura (registros de acceso). Usted establece la política de aplicación + contrato DPA; negociar duraciones y exportar si la auditoría es larga.
¿Cómo conciliar la investigación de incidentes?
Retención operativa mínima + instantánea forense aislada del incidente + procedimiento de congelación de retención legal sin extensión sistémica.
Los registros protegen lo que conservan durante el tiempo suficiente y respetan lo que eliminan con suficiente antelación.