Cuando una entidad supervisada por la CNBV debe explicar una vulneración de datos, no basta con decir que existe un antivirus o una política de seguridad. Necesita mostrar cómo protege confidencialidad, integridad y disponibilidad, cómo detecta operaciones irregulares y qué hizo para corregirlas.
La evidencia debe permitir reconstruir el incidente sin revelar toda la infraestructura ni exponer información de otros clientes. El alcance es por operación, activo y período, no por acumulación indiscriminada de archivos.
Los registros de acceso y autenticación
La entidad necesita saber quién accedió, desde qué dispositivo, con qué método y en qué fecha. También necesita distinguir cuenta, sesión, dispositivo y persona física. Una contraseña correcta no demuestra consentimiento ni identidad por sí sola.
Los registros deben incluir altas y bajas de dispositivos, recuperaciones de contraseña, cambios de factores, beneficiarios agregados y modificaciones de límites. Si hubo una operación no reconocida, esos eventos previos pueden explicar la toma de control mejor que la frase “se usó tu token”.
La zona horaria debe quedar documentada. Una operación a medianoche puede ser una actividad ordinaria en UTC, no una prueba de conducta sospechosa. Normalizar los relojes evita una acusación basada en desfase.
Los registros de la operación
Una vulneración se explica por eventos concretos: qué ocurrió, dónde, cómo se detectó, qué datos estaban involucrados y qué ruta siguió la operación. La entidad debe conservar identificadores, referencias, estatus, acuses y comprobantes.
Para pagos o transferencias, hay que separar autorización, captura, liquidación, aplicación y devolución. Un cargo no demuestra toda la trayectoria del dinero. Los identificadores permiten conciliar origen, procesador, beneficiario y banco sin confundir etapas.
También hay que conservar alertas y respuestas: qué se notificó al titular, a qué canal, cuándo y con qué acuse. Que un mensaje haya sido enviado no demuestra que el titular lo haya recibido o que haya consentido la operación posterior.
Los registros de infraestructura y actividad
Los servidores, aplicaciones y dispositivos pueden aportar eventos de ejecución, procesos, instalaciones, accesos remotos, cambios de configuración y eliminación selectiva. Su valor depende del formato nativo, la retención y la posibilidad de revisar el método de extracción.
Una hoja de cálculo preparada después puede ordenar la explicación, pero no sustituye los archivos originales. Los logs deben acompañarse de campos, diccionario, procedimiento y custodia. Quien administra un sistema puede modificarlo; eso hace necesaria la revisión independiente.
Los registros de red pueden mostrar destinos nuevos, picos de salida y conexiones persistentes. No prueban contenido por sí solos. Deben relacionarse con procesos, archivos y horarios para distinguir actualización, respaldo o extracción.
Los registros de decisión y corrección
La entidad también debe demostrar qué hizo después: contención, preservación, análisis, remediación y reevaluación. Un informe de incidente sin acciones posteriores no explica cómo se redujo el riesgo de repetición.
Las actas y cronologías deben identificar quién decidió y con qué información. Si se restauró un servidor antes de preservar, eso se documenta como decisión posterior, no como parte del ataque. La cronología evita atribuir al incidente cambios producidos por la propia respuesta.
La reevaluación debe mostrar que la condición corregida ya no se reproduce en condiciones equivalentes. Si una dependencia impide comprobarlo, se explica la limitación. No se presenta una corrección como seguridad permanente.
Alcance, retención y custodia
Una solicitud excesiva puede pedir todos los servidores y producir más ruido que respuesta. El alcance útil delimita operación, fecha, activos y campos necesarios. También considera retención: algunos registros desaparecen por rotación o política.
Cada exportación debe identificar fuente, fecha, responsable, método y valores de integridad cuando corresponda. Los hashes ayudan a detectar cambios desde el cálculo, no acreditan autenticidad histórica ni autoría.
La entidad debe poder explicar qué registros no existen y por qué. Una negativa parcial no equivale a inexistencia total. Se documenta qué se entregó, qué se negó y qué preguntas siguen sin respuesta.
Qué debe revisar dirección y el abogado
Dirección necesita continuidad y decisiones de riesgo. Jurídico necesita obligaciones, privacidad, contratos y debido proceso. El equipo técnico necesita archivos reproducibles y campos para reconstruir el incidente.
La entidad no debe entregar datos personales de otros clientes para demostrar un evento propio. La revisión se limita a los registros necesarios y usa copias controladas. El objetivo es probar la operación y las medidas, no exhibir toda la información de la institución.
Un buen expediente permite que otra persona repita la consulta y llegue a la misma secuencia. Si la explicación depende de que alguien diga “confíen en nosotros”, todavía hay trabajo por hacer.