Registro de auditoría

Audit trail y audit log suelen usarse como sinónimos. Cuando se distinguen, el audit log es la lista almacenada de entradas y el audit trail es la secuencia de entradas que reconstruye un suceso o el historial de un recurso.

Qué debe registrar el audit trail de un DAM

Suceso	Ejemplo de pregunta a la que responde
Importaciones y versiones nuevas	¿Quién reemplazó la foto de producto el martes pasado y qué aspecto tenía antes?
Cambios de metadatos y de estado	¿Quién aprobó esta imagen para uso externo?
Descargas	¿Qué socios descargaron el logotipo antiguo después del rebranding?
Usos compartidos y acceso al portal	¿Abrió la agencia el enlace del kit de prensa y cuántas veces?
Cambios de permisos y de reglas	¿Quién cambió la regla de acceso que expuso la colección previa al lanzamiento?
Decisiones sobre derechos	¿Se bloqueó la descarga porque la licencia había caducado?
Eliminaciones y restauraciones	¿Quién eliminó este recurso y cuándo?
Llamadas a la API	¿Qué integración modificó estos 400 recursos durante la noche?

Qué hace fiable un audit trail

• Completo: las entradas las escribe el sistema como parte de cada acción, no las personas que se acuerdan de registrarla.
• Atribuido: cada entrada nombra a un autor, ya sea una persona, un token de API o un proceso automático.
• Solo de adición: las entradas se añaden y nunca se editan. Una corrección es una entrada nueva.
• Conservado durante el tiempo que exijan las auditorías, los contratos o la normativa.
• Con búsqueda y exportación, para que un administrador pueda filtrarlo y entregar un extracto a un auditor.

Audit trails y cumplimiento normativo

Las revisiones de seguridad y de protección de datos piden pruebas de quién accedió a qué. ISO/IEC 27001:2022 incluye el registro de eventos entre sus controles (Anexo A 8.15), y el RGPD exige que las organizaciones puedan demostrar su cumplimiento (art. 5.2), lo que incluye saber dónde se han compartido datos personales como las fotos de personas identificables. Las disputas por licencias funcionan igual: un registro de descargas y de usos compartidos muestra si una imagen se usó fuera de sus condiciones.

Un audit trail registra quién hizo qué. El control de versiones registra cómo era el recurso en cada momento. Juntos permiten reconstruir el estado de la biblioteca en cualquier momento del pasado.

Audit trails en Freedam

Freedam mantiene varios registros, cada uno para un tipo de actividad:

• Cambios de configuración: los cambios en reglas de acceso, roles y sus permisos, grupos de usuarios, marcas de agua, campos de metadatos, vocabularios, flujos de trabajo y otros ajustes se registran con la persona o la ejecución del asistente que los hizo, los valores anterior y posterior, la dirección IP y la hora. Los administradores pueden preguntar al asistente de administración qué ajustes cambiaron desde una fecha determinada.
• Decisiones sobre derechos: las acciones bloqueadas, las confirmaciones de condiciones de una política y las descargas sujetas a una política de derechos se registran con territorio, canal y decisión. El registro se puede filtrar por fecha y decisión y exportar como CSV.
• Enlaces para compartir: cada vista y cada descarga a través de un enlace se registra, con la dirección de correo electrónico del visitante cuando el enlace la exige. Los administradores pueden exportar la actividad de los enlaces.
• Las colecciones compartidas internamente tienen su propio registro de cambios.
• Actividad de los recursos: cada recurso muestra sus vistas, descargas y usos compartidos, y las personas con permiso ven quién lo vio o lo descargó. Consulta las estadísticas.
• Historial de los recursos: la lista de versiones muestra quién importó cada versión, y la pestaña de historial enumera los cambios de estado del flujo de trabajo con quién los hizo y por qué.
• Llamadas a la API: cada solicitud a la API pública se registra con su token, método, ruta, estado y tiempo de respuesta.

Preguntas frecuentes

¿Cuál es la diferencia entre un audit trail y el historial de versiones?

Un audit trail registra las acciones y quién las realizó. El historial de versiones conserva copias anteriores de un archivo. Necesitas el audit trail para saber quién reemplazó una imagen y el historial de versiones para ver o restaurar lo que se reemplazó.

¿Durante cuánto tiempo se deben conservar los registros de auditoría?

No hay una única regla. Consérvalos al menos tanto tiempo como la licencia o el contrato más largo que puedan tener que acreditar, y durante el tiempo que exija cualquier normativa de tu sector.

¿Puede un audit trail mostrar quién descargó un archivo?

Sí, si las descargas se registran por usuario. En los enlaces para compartir que usan personas sin cuenta, el registro anota cada visita y cada descarga, y la dirección de correo electrónico del visitante cuando el enlace la pide.