La restauración terminó un domingo por la noche. El martes se abren los libros, los contratos vuelven a estar en sus carpetas y el responsable financiero está en una llamada con el auditor. El auditor hace la pregunta que el software de copias de seguridad no puede responder: ¿cómo sabemos que estos archivos son los mismos que tenían antes del incidente?
Una copia de seguridad muestra lo que tiene ahora. No muestra que nada cambiara entre la última copia limpia y la que restauró. Si alguien estuvo dentro de la red durante días antes de que empezara el cifrado, un archivo restaurado puede llevar ya una modificación que nadie advirtió.
Lo que un archivo restaurado no puede probar por sí solo
Un PDF sacado de una copia de seguridad lleva una fecha de modificación escrita por el ordenador que lo guardó por última vez. Esa fecha puede fijarse en cualquier valor. El archivo no conserva ningún registro de cómo era el mes pasado, y ningún tercero lo respaldaba entonces. Su palabra de que coincide es todo el caso.
La legislación contable suiza espera más. El artículo 3 de la Ordenanza sobre los libros de comercio (GeBüV) exige que los libros de comercio y los comprobantes contables se conserven de modo que no puedan modificarse sin que ello sea detectable. El artículo 9, apartado 1, letra b admite soportes de almacenamiento modificables a condición de que procedimientos técnicos garanticen la integridad de la información almacenada y de que el momento del almacenamiento pueda probarse de forma no falsificable; la propia ordenanza cita los procedimientos de firma digital y los sellos de tiempo como ejemplos. El artículo 10 añade comprobaciones periódicas de la integridad y legibilidad de los soportes, y un registro de toda migración, conservado junto con los datos.
Una restauración traslada datos de un soporte a otro, y el criterio del artículo 10 es el que aplicará su auditor: ¿se conservaron completos y correctos, y puede demostrarlo?
Lo que añade un sello
Cuando un documento se sella en Swiss Trust Layer, se calcula una huella criptográfica del archivo. Esa huella, no el archivo, se envía a Swisscom Trust Services, el prestador cualificado de servicios de confianza, que la firma con una clave que nunca sale de su hardware. La firma lleva un sello de tiempo conforme a RFC 3161 y se incrusta en el PDF. El archivo original no se altera. Cada versión sellada de una carpeta recibe además un certificado de prueba que enumera cada archivo con su huella y la hora de sellado en UTC.
Según el artículo 41, apartado 2, del Reglamento eIDAS, un sello cualificado de tiempo electrónico disfruta de la presunción de exactitud de la fecha y hora que indica y de integridad de los datos a los que la fecha y hora estén vinculadas. El sello de tiempo prueba que exactamente este archivo existía en ese momento y no ha cambiado desde entonces. No prueba quién lo escribió, si su contenido es cierto ni quién tiene los derechos. Para una cuestión de integridad tras una restauración, esa afirmación acotada es justo la que necesita.
La comprobación tras una restauración
Tome la copia restaurada de un PDF sellado y súbala al validador público en swisstrustlayer.com/validate. Sin cuenta, sin registro. Comprueba la cadena de firma, la autoridad de certificación emisora, la caducidad del certificado y la integridad del sello de tiempo, y después informa de quién firmó, cuándo, con qué certificado y si el contenido se modificó después de firmar. Procesa los metadatos de la firma y no almacena el documento.
Si el archivo restaurado está intacto, el validador lo dice, y el sello de tiempo fecha ese estado antes del incidente. Si algo cambió, la huella ya no coincide y el validador informa de una modificación posterior a la firma. En ambos casos la respuesta no descansa en su propia aseveración, y un banco, una aseguradora, una contraparte o un auditor pueden ejecutar la misma comprobación en su propia máquina.
El límite, dicho con claridad
Esto sirve para los archivos que fueron sellados antes del incidente. Para nada más.
Sellar un archivo después de la restauración prueba cómo era ese archivo el día en que lo selló, y mostrará cualquier cambio a partir de ese día. No dice nada de las semanas anteriores. Si un registro fue alterado durante la intrusión y luego sellado en el sistema limpio, el sello fija la versión alterada. Un sello de tiempo no puede añadirse hacia atrás. Para todo lo que no se selló antes, vuelve a depender de su palabra y de los registros de las copias de seguridad, y lo sensato es empezar a sellar ahora.
Qué registros sellar, y cuándo
Sellarlo todo no es el objetivo. Los registros por los que preguntará un auditor o una contraparte forman una lista corta, y la mayoría se cierran según un calendario:
- Los libros de cierre y las exportaciones que los sustentan, en cada cierre de mes, de trimestre y de año.
- Los contratos firmados, en cuanto está la última firma.
- Las actas del consejo de administración, una vez firmadas por el presidente y el secretario del acta.
- Las políticas y los procedimientos, en cada revisión aprobada.
- Los manifiestos de copia de seguridad, el inventario de lo que contiene cada ejecución de copia. Tras una restauración, un manifiesto sellado muestra qué conjunto de copia usó y que su inventario no se editó desde entonces.
Cada carpeta sellada en Swiss Trust Layer conserva un historial de versiones. Se puede añadir una nueva versión y sellarla por separado, con su propio certificado y una nota, de modo que una carpeta de cierre de mes puede contener doce versiones selladas a final de año.
Guarde el original sellado en otro lugar
El sello cubre una huella de su documento, así que el archivo sellado y su certificado también tienen que sobrevivir al incidente. Si el ransomware llega a la carpeta donde están los PDF sellados, la huella no puede reconstruirlos. Guarde ambos en un segundo lugar, lejos de los sistemas con más probabilidad de verse afectados.
El portal ofrece ESCROW Storage como opción de almacenamiento, alojado en Suiza y vinculado a la identidad verificada del titular de la cuenta. Las carpetas selladas depositadas allí reciben un ESCROW ID para la recuperación. Swisscom Trust Services proporciona el almacenamiento, ProLitteris opera el escrow, Swiss Trust Layer aporta la tecnología. Si en el incidente se pierden todas las credenciales, la identidad puede verificarse de nuevo, en línea o en persona a través de un agente KYC, y el acceso se restablece.
Un paso esta semana
El artículo 10 pide comprobaciones periódicas de integridad y un registro de cada migración. Tras cualquier restauración, pase los archivos sellados por el validador, anote los resultados y conserve ese registro junto con los datos.
Después elija el registro que menos querría defender de memoria. El último libro de cierre es un buen candidato. Séllelo, ponga el archivo sellado y su certificado donde el próximo incidente no pueda llegar, y anote el próximo cierre de mes en el calendario. El mecanismo completo está en cómo funciona.
Selle su primer documento en Swiss Trust Layer y dele una respuesta a la próxima pregunta.
