Lección 7 de 7 · 13 min
Registros, incidentes y la Ley 21.663
Al terminar sabrás
13 min- Verificar que los eventos de seguridad queden registrados sin datos sensibles
- Reportar una vulnerabilidad con la evidencia y la reserva que corresponden
- Explicar los plazos de reporte de la Ley 21.663 y qué aporta QA
Construyes: El reporte de la vulnerabilidad más grave que encontraste en el curso, listo para entregar con reserva.
A09: si no queda registro, no pasó
A09:2025 Security Logging and Alerting Failures es el riesgo de que pase algo grave y nadie se entere. Un ataque que no deja registros es invisible: no se detecta mientras ocurre y no se puede reconstruir después.
QA puede verificar que los eventos importantes queden registrados:
- inicios de sesión fallidos y bloqueos de cuenta;
- intentos de acceder a recursos sin permiso (los 401 y 403 de la lección 3);
- cambios de datos sensibles: contraseña, correo, datos de pago;
- errores del servidor.
Y que el registro sirva: quién, cuándo, qué recurso, desde dónde y qué respondió el sistema. Sin convertirse en una fuga: nunca contraseñas, tokens completos ni datos sensibles enteros.
Reportar una vulnerabilidad
Un bug de seguridad se reporta distinto de uno funcional, porque mientras no se arregla, el reporte mismo es información sensible:
- Por el canal reservado, a quien puede arreglarlo, no en el tablero público ni en redes.
- Con evidencia mínima: lo justo para reproducirlo. Si la evidencia muestra datos reales, se tapan.
- Con la categoría OWASP y el impacto en palabras del negocio: "cualquiera puede descargar nombre y dirección de todos los clientes".
- Con una recomendación, sin necesidad de explotarlo más de lo necesario para demostrarlo.
La Ley 21.663 Marco de Ciberseguridad
Desde el 1 de marzo de 2025, la Ley 21.663 obliga a las instituciones que prestan servicios esenciales (entre ellas energía, telecomunicaciones, banca, salud y los órganos del Estado) a reportar los incidentes de ciberseguridad que puedan tener impactos significativos al CSIRT Nacional de la ANCI, la Agencia Nacional de Ciberseguridad, en plazos definidos:
| Reporte | Plazo |
|---|---|
| Alerta temprana | 3 horas desde que se toma conocimiento del incidente |
| Actualización | 72 horas; 24 si es un operador de importancia vital con su servicio esencial afectado |
| Informe final | 15 días corridos desde la alerta temprana |
Qué aporta QA
En un incidente, todo depende de poder responder rápido tres preguntas: qué pasó, desde cuándo y a quién afectó. Ahí QA aporta lo que hace todos los días:
- registros que existen y sirven, porque alguien los probó (A09);
- evidencia ordenada: pasos, versiones, ambiente, respuestas;
- pruebas de regresión que confirman que el arreglo funciona y no rompió otra cosa, a tiempo para el informe final.
Un QA que sabe dejar esa evidencia vale más en banca, salud, energía y el Estado, justo los sectores que la ley alcanza.
Cierre del curso
Control de acceso, autenticación, entradas y errores, configuración, dependencias y registros: es la parte del OWASP Top 10:2025 que cabe en el trabajo diario de QA, y que encuentra muchos de los problemas antes de que lleguen a producción. Lo demás lo cubren los especialistas, y lo encuentran más rápido cuando QA ya hizo su parte.
Comprueba lo aprendido en el quiz y escribe el reporte con reserva en el reto final.
Compruébalo
0/3Responde sin mirar atrás. Verás la explicación al instante.
1. ¿Cuál es el plazo para la alerta temprana de un incidente según la Ley 21.663?
2. Encuentras que cualquiera puede ver pedidos ajenos. ¿Dónde lo reportas?
3. Un intento de ver pedidos ajenos debería quedar registrado. ¿Qué NO debe quedar en el registro?
Reto final: el reporte con reserva
Elige la vulnerabilidad más grave que encontraste en el curso y escribe su reporte: qué es, categoría OWASP, impacto, pasos, evidencia mínima y recomendación.
Verifica en tu producto que un acceso indebido quede registrado, y que el registro no guarde contraseñas ni tokens.