El control 8.16 «Actividades de monitoreo» forma parte del conjunto de controles de seguridad de la norma ISO/IEC 27001:2022. Su propósito es garantizar que las actividades en los sistemas de información se puedan rastrear, verificar y auditar para detectar comportamientos inusuales, responder a incidentes y demostrar cumplimiento.

Objetivo del control 8.16

“Las actividades relacionadas con los sistemas de información deben ser monitoreadas y registradas para identificar acciones no autorizadas y facilitar auditorías de seguridad de la información.”

Este control busca asegurar visibilidad sobre lo que ocurre en los sistemas: quién hizo qué, cuándo y desde dónde.

Fundamentos para la implementación

Para cumplir correctamente este control, una organización debe establecer una estructura que contemple:

1. Definición de eventos a monitorear

Debes identificar qué eventos son relevantes para tu SGSI. Por ejemplo:

• Inicio y cierre de sesión

• Acceso a datos sensibles o confidenciales

• Cambios en la configuración del sistema

• Elevación de privilegios

• Fallos en autenticación

• Actividades del administrador

2. Habilitación de registros (logs)

Asegúrate de que todos los sistemas críticos tengan habilitada la generación de logs, incluyendo:

• Sistemas operativos (Linux, Windows)

• Servidores de aplicaciones y bases de datos

• Firewalls y proxies

• Herramientas de colaboración (correo, cloud, etc.)

Los registros deben incluir: usuario, timestamp, dirección IP, acción realizada, y resultado (éxito o error).

3. Centralización de logs

Usar un SIEM (Security Information and Event Management) como:

• ELK Stack (Elasticsearch, Logstash, Kibana)

• Splunk

• Graylog

• Wazuh

4. Establecimiento de alertas automáticas

Configura alertas que se activen ante:

• Accesos fuera de horario

• Uso excesivo de recursos

• Acceso a archivos no autorizados

• Comportamientos anómalos (detección por IA o reglas)

Estas alertas deben ser tratadas por el equipo de seguridad o el SOC (Security Operations Center).

5. Conservación segura de los registros

Asegura la integridad y disponibilidad de los registros:

• Almacénalos en ubicaciones seguras y cifradas

• Aplica control de acceso: solo personal autorizado debe acceder a ellos

• Define una política de retención (por ejemplo, 1 año mínimo)

• Protege los registros contra modificación o eliminación no autorizada

Conclusión

El control 8.16 es esencial para tener trazabilidad, detectar incidentes y demostrar que tu organización gestiona adecuadamente la seguridad. Implementarlo bien no solo cumple con ISO/IEC 27001, sino que fortalece tu postura de ciberseguridad frente a amenazas internas y externas.