El registro de auditoría guarda lo que pasó en tu organización y sus equipos: quién cambió un ajuste, añadió un dominio, configuró el inicio de sesión único, creó una clave o hizo una pregunta, y cuándo. Puedes filtrarlo, exportarlo para tu equipo de seguridad, elegir cuánto tiempo se guarda e impedir que se borren eventos mientras los necesites.
Estamos activando el registro de auditoría para las organizaciones poco a poco. Si no ves Registro de auditoría en Ajustes, luego Organización, aún no está activado para tu organización y ves en su lugar la lista Actividad, más corta. Escríbenos si lo quieres.
Quién puede verlo
Solo los propietarios y administradores de alguno de los equipos de la organización pueden abrir el registro de auditoría, con la sesión iniciada en la web. Los miembros nunca lo ven. Donde tu organización tenga cuentas de servicio, la clave de API o la app conectada de un admin con el permiso audit:read también puede leerlo y exportarlo, igual que una cuenta de servicio con ese permiso.
Cambiar cuánto se guardan los eventos, aplicar una retención legal o levantarla requiere confirmar de nuevo que eres tú. Elige Confirmar que eres tú cuando se te pida. La confirmación dura 10 minutos.
Qué se guarda
- Tu organización: cambios de nombre, dominios añadidos, verificados, con fallos o quitados, cambios de políticas y personas que se unen con la unión automática.
- Inicio de sesión único: su configuración y sus cambios, las pruebas, activarlo, desactivarlo, exigirlo o dejar de exigirlo, las cuentas vinculadas, las sesiones que cerró y los propietarios de emergencia añadidos, quitados o usados. Consulta Inicio de sesión único para tu organización.
- Aprovisionamiento y políticas de seguridad: los tokens SCIM creados, sustituidos y revocados, los roles por grupo, las personas que tu proveedor de identidad añadió, cambió, desactivó o quitó y cada paso del cierre de su acceso, los cambios de políticas de seguridad, las sesiones que cerró un administrador y los nuevos propietarios de equipo. Consulta Aprovisionamiento y políticas de seguridad.
- Cada equipo: preguntas hechas y canceladas, créditos comprados, claves de API creadas y revocadas, personas invitadas, que se unen, se van o cambian de rol, límites mensuales y apps conectadas.
- El propio registro de auditoría: exportaciones, cambios del periodo de conservación, eventos borrados por la conservación y retenciones legales aplicadas o levantadas.
Cada evento dice quién lo hizo: una persona, la clave de API o la app conectada de una persona, una cuenta de servicio, el propio 50heads (por ejemplo, la comprobación diaria de dominios) o tu proveedor de identidad mediante SCIM. También en los eventos de cada equipo: cuando tu proveedor de identidad añade a alguien a un equipo o lo quita, el evento del equipo dice SCIM, no 50heads. Los cambios hechos en Ajustes, luego Organización, y los cambios en las personas de un equipo (invitaciones, roles, límites, salidas) guardan además la dirección de la que llegaron. Los eventos anteriores no la tienen.
Los eventos no se pueden cambiar. Solo se borran cuando superan tu periodo de conservación, y nunca mientras una retención legal los guarde.
Qué no se guarda nunca
- Secretos: contraseñas, tokens SCIM, secretos de cliente del inicio de sesión único, claves de API, enlaces y tickets de inicio de sesión y códigos de un solo uso. Si alguno llegara a un evento, se quitaría antes de guardarlo y otra vez antes de mostrarlo.
- Nada que identifique a las personas que responden tus preguntas. El registro muestra lo que preguntó tu equipo, nunca quién respondió.
Filtrar el registro
Elige las fechas Desde y Hasta, una Persona, un Tipo y un Equipo, y luego Ver eventos. Persona muestra a todas las personas de los equipos de tu organización, las mismas que en Personas, no solo el equipo que estás usando. La lista muestra 50 eventos cada vez, lo más reciente primero. Ver anteriores va más atrás. Quitar filtros vuelve a mostrarlo todo.
Los tipos agrupan eventos relacionados: organización y políticas, dominios, personas, inicio de sesión único, aprovisionamiento (SCIM), preguntas, créditos, claves y conexiones, y el propio registro de auditoría.
Exportarlo
Exportar en JSONL y Exportar en CSV descargan los eventos que coinciden con tus filtros, de lo más antiguo a lo más reciente, hasta 1.000.000 de eventos por archivo. Cada exportación queda guardada en el registro.
- JSONL tiene un evento por línea, como objeto JSON. Va bien para un SIEM o un script.
- CSV tiene una fila por evento y se abre en una hoja de cálculo.
| Columna del CSV | Qué contiene |
|---|---|
id |
La referencia del evento |
at |
Cuándo pasó, en UTC |
organization_id |
Tu organización |
workspace_id |
El equipo donde pasó, o vacío en los eventos de toda la organización |
source |
organization o workspace (el registro propio de un equipo) |
actor_type |
person, system (50heads), scim, api_key (la clave de una persona), oauth (la app conectada de una persona) o service_account |
actor_id |
La referencia de 50heads de la persona o de la cuenta de servicio, si la hay |
actor_name |
Su nombre o su correo electrónico |
action |
Qué pasó, por ejemplo domain.verified o sso.enforced |
subject |
A qué afectó: un dominio, un correo electrónico, el nombre de una clave |
data |
Los detalles, en JSON |
ip |
La dirección de la que llegó el cambio, si se guardó |
Una hoja de cálculo puede tratar como fórmula una celda que empieza por =, +, - o @. Para que ningún evento pueda ejecutar nada, esas celdas empiezan con una comilla simple (') en el CSV. El archivo JSONL conserva el texto tal cual.
Cuánto tiempo se guardan los eventos
Los eventos se guardan seis años salvo que lo cambies. Puedes elegir 1 año, 2 años, 6 años o 10 años, o cualquier número de días entre medias. Lo mínimo es un año (365 días) y lo máximo, diez años (3.650 días).
- Mientras no elijas un periodo, cubre los eventos de la propia organización. En cuanto eliges uno, cubre también los eventos de cada equipo.
- Una limpieza se hace una vez al día. Borra los eventos que superan tu periodo, salvo los que guarda una retención legal.
- Si acortas el periodo, te decimos qué eventos se van y te preguntamos antes de guardar. Se borran en la próxima limpieza diaria, en menos de un día, y no se pueden recuperar.
- Cada limpieza que borra algo añade un evento con cuántos borró.
Acortar el periodo nunca afecta a lo que debemos guardar para pagar a las personas que responden o para investigar un fraude.
Retenciones legales
Una retención legal impide que se borren eventos, sea cual sea tu periodo de conservación, hasta que la levantes. Úsala cuando debas guardar registros para un asunto legal o una investigación.
- En Retenciones legales, elige Aplicar una retención legal.
- Indica un motivo, por ejemplo una referencia del asunto. Lo pueden leer todos los administradores que ven el registro de auditoría.
- Elige qué guardar: Todo, Equipos elegidos o Personas elegidas. Puedes elegir a cualquier persona de los equipos de tu organización.
- Elige Aplicar retención.
Una retención sobre equipos elegidos guarda los eventos de esos equipos. Los eventos de toda la organización, como los cambios de dominio, los guarda Todo o una retención sobre la persona que los hizo. Puedes tener hasta 50 retenciones activas. Levantar termina una retención; los eventos que guardaba se borran en la próxima limpieza diaria si superan tu periodo de conservación. Las retenciones levantadas siguen en la lista.