Por qué los registros de auditoría a prueba de revisiones son ahora obligatorios
Para comerciantes y operadores de redes, las pruebas verificables sobre accesos, cambios y liquidaciones no son un complemento agradable, sino una necesidad para auditorías y cumplimiento. Solicitudes según la DSGVO, inspecciones fiscales o auditorías internas requieren registros a prueba de revisiones: quién cambió qué y cuándo, desde qué rol y cómo se calculó el cambio. Una plataforma self‑hosted como Affilentra da a las empresas el control para proporcionar esas pruebas de forma estructurada y verificable.
Principios básicos de los registros a prueba de revisiones
- Inmutabilidad: Los registros no deben poder modificarse sin dejar rastro. Los cambios deben documentarse (solo anexar o con metadatos de versionado).
- Separación por roles: Los registros deben mostrar la asignación de roles (operador, comerciante, socio).
- Integridad: Sumatorias de comprobación o hashes permiten demostrar que los protocolos no han sido manipulados.
- Exportabilidad: Las autoridades de control necesitan exportaciones legibles por máquina (CSV, JSON, PDFs firmados).
- Permisos y acceso: Solo roles autorizados deben poder ver o exportar los registros, con registro de esas acciones.
- Control de retención: La política de retención y el concepto de eliminación deben estar documentados conforme a la DSGVO.
Rastreo por roles: lo que necesitan operadores, comerciantes y socios
Un rastreo por roles efectivo captura la misma información central, enriquecida con detalles específicos por rol:
- Operador (administrador del sistema): Configuraciones del sistema, asignación de permisos, instalación/actualizaciones, trabajos de respaldo, comprobaciones de integridad, intervenciones manuales en el seguimiento o la liquidación.
- Comerciante (Merchant): Creación/modificación de productos, ajustes de condiciones, aprobación de materiales publicitarios, validaciones de conversiones, consultas sobre pagos, impugnaciones sobre asignaciones a socios.
- Socio (Publisher/Creator): Registro, generación de enlaces, acciones en campañas, solicitudes de pago, impugnaciones o correcciones de asignaciones de conversiones.
Cada línea de registro debería contener al menos los siguientes campos: marca temporal (UTC), UserID, rol, tipo de acción, entidad afectada (p. ej. ConversionID, CampaignID), valores anterior/posterior (cuando sea relevante), dirección IP, así como un identificador de evento único (EventID).
Implementación técnica en Affilentra (self‑hosted)
Affilentra, como solución self‑hosted, ofrece las condiciones necesarias para operar los registros de auditoría de forma local y controlada. Procedimiento recomendado:
- Crear tablas de auditoría: Esquema separado o tablas separadas para entradas de auditoría, idealmente en modo solo-adición (INSERT-only) con triggers que registren los valores antes/después.
- Almacenar el contexto de la transacción de la BD: Vincule las entradas de auditoría con la transacción de BD que las provocó para garantizar coherencia en caso de rollbacks.
- Triggers y capa de aplicación: La combinación de triggers en la BD y registro en la capa de aplicación garantiza que se capturen tanto cambios directos en la BD como operaciones de la aplicación.
- Metadatos de integridad: Calcule y almacene periódicamente sumas de comprobación (p. ej. SHA-256) sobre lotes de logs. Si es necesario, estas sumas pueden archivarse externamente.
- Protección contra escritura para los logs: Configure permisos del sistema de ficheros/BD de modo que solo una cuenta de sistema mínima pueda crear nuevas entradas y que las actualizaciones/eliminaciones posteriores queden registradas explícitamente.
Formatos de exportación y flujos de trabajo de auditoría
Los auditores suelen necesitar exportaciones legibles por máquina y rastreables. Implemente en Affilentra rutas de exportación estandarizadas:
- CSV: Exportación tabular para auditorías basadas en filas (p. ej. eventos de inicio de sesión y transacciones).
- JSON: Exportaciones estructuradas para objetos complejos (p. ej. historiales completos de conversiones con metadatos asociados).
- PDF (firmado): Informes de auditoría legibles por humanos con sumas de comprobación incrustadas y una verificación de integridad para auditores externos.
- Archivos empaquetados: Exportación como ZIP con archivos de registro, sumas de comprobación y un manifiesto legible por máquina (JSON) que describa la exportación.
Flujo de trabajo para auditorías:
- Crear un ticket de auditoría autorizado en el sistema (quién, por qué, alcance).
- Exportación programada con ventana temporal y opciones de suma de comprobación.
- Provisión de la exportación incluyendo firma/suma de comprobación al auditor.
- Seguimiento de todos los accesos a la exportación en el registro de auditoría.
Informes automatizados de auditoría y monitorización
Los informes automatizados reducen el esfuerzo y aumentan la trazabilidad. Informes recomendados:
- Informes diarios tipo resumen: Número de cambios, eventos críticos (p. ej. cambios de permisos), inicios de sesión fallidos.
- Verificación de integridad semanal: Comparar las sumas de comprobación almacenadas con valores recalculados, marcar anomalías.
- Informes de auditoría ad hoc: Generados por ticket para períodos y roles definidos.
Estos informes deberían estar disponibles tanto como archivos legibles por máquina (JSON/CSV) como en resúmenes en PDF firmados. Para máxima transparencia se recomienda ejecutar la automatización mediante tareas programadas (Cron/Jobs) y registrar también de forma auditada los propios trabajos de auditoría.
Políticas de retención y conformidad con el RGPD
La retención no significa solo “almacenar más tiempo”, sino “gestionar de forma demostrable y legalmente segura”:
- Documentar los plazos de conservación: Establezca plazos para distintos tipos de registros (p. ej., registros relacionados con la seguridad frente a registros de transacciones) teniendo en cuenta los requisitos legales.
- Derecho de supresión: Implemente un procedimiento de seudonimización o eliminación de entradas con datos personales que mantenga la trazabilidad de las transacciones (p. ej., conservando metadatos anonimizados en vez de registros completos).
- Minimización de datos: Registre únicamente los datos personales necesarios; los datos complementarios de auditoría pueden seudonimizarse.
- Documentación de la base legal: Para cada categoría de registro debe constar la base para el almacenamiento (p. ej., obligación legal, interés legítimo).
Prácticamente se recomienda un sistema de gestión de retenciones que se ejecute periódicamente y desencadene acciones: archivar, seudonimizar o eliminar definitivamente, todo con entradas de auditoría sobre la medida aplicada.
Operación y buenas prácticas
- Principio de privilegio mínimo: Limitar estrictamente los derechos de rol para la visualización y exportación.
- Revisiones periódicas: Auditorías internas al menos trimestrales, comprobaciones de integridad con mayor frecuencia.
- Probar copia de seguridad y restauración: Los registros de auditoría forman parte de las copias de seguridad; las pruebas de recuperación deben garantizar la consistencia de los registros.
- Comunicación transparente: Los comerciantes y socios deben ser informados sobre qué datos se registran y por qué.
Conclusión y puesta en práctica concreta
Los registros de auditoría a prueba de revisión son una necesidad funcional para comerciantes y redes y pueden implementarse de forma específica en un entorno autoalojado como Affilentra: protocolos de trazabilidad por rol, formatos exportables para auditores, informes automatizados de integridad y comprobación, así como políticas de conservación claramente documentadas, proporcionan seguridad para auditorías y cumplimiento del RGPD. Gracias a la licencia perpetua y al control local, las empresas mantienen la soberanía sobre los datos, las exportaciones y la conservación.
¿Desea implementar registros de auditoría en Affilentra? Elija su punto de partida y planifique la primera implementación de auditoría: opciones de inicio e información de demostración aquí: Elegir inicio.
Siguiente paso
Probar Affilentra usted mismo
Plataforma unificada que integra de forma transparente la puesta a disposición de productos, el seguimiento, la validación de conversiones, el cálculo de comisiones y el pago con roles claramente separados; opción de instalación self-hosted con licencia perpetua sin participación en ingresos; los comerciantes mantienen el control sobre productos, condiciones y materiales publicitarios; los socios reciben enlaces de seguimiento personales e historial de pagos verificable.