11.5.2 Log de auditoría y trazabilidad - contenido y acceso
Cada acción en el sistema queda registrada en el log inmutable con los siguientes campos:
- Identificador único del evento (UUID)
- Usuario que realizó la acción (nombre, perfil, área)
- Timestamp exacto (fecha, hora, minuto, segundo, zona horaria UTC-3)
- IP de origen de la conexión
- Módulo del sistema donde ocurrió el evento
- Descripción de la acción (tipo de evento codificado + descripción en texto)
- Estado anterior y posterior del objeto afectado (para eventos de modificación)
- Hash del registro anterior en la cadena (garantiza inmutabilidad encadenada)
El log de auditoría es accesible para los siguientes perfiles, con los niveles de acceso indicados:
| Perfil | Acceso al log | Alcance |
|---|---|---|
| Operador de Compras | Lectura | Solo los procesos en los que es responsable asignado |
| Gerente de Compras | Lectura | Todos los procesos del área de Compras |
| Gerencia General | Lectura | Todos los procesos de todos los módulos |
| Directorio | Lectura | Todos los procesos - irrestricto |
| Auditor externo | Lectura temporal | Procesos específicos designados - acceso por período definido |
| Organismo de control | Lectura - previa solicitud formal | Procesos designados en la solicitud formal |
| Administrador del sistema | Sin acceso al contenido de auditoría de negocio | Solo logs técnicos del sistema - nunca logs de proceso |
El diseño técnico del sistema tiene como objetivo primario hacer técnicamente imposible -no solo prohibido- los siguientes comportamientos:
| Riesgo | Mecanismo de mitigación | Nivel de protección |
|---|---|---|
| Conocer el precio de un competidor antes de ofertar | Cifrado de oferta al confirmar - nadie la puede leer | Absoluto |
| Modificar una oferta ya presentada | Bloqueo inmediato y permanente tras la confirmación | Absoluto |
| Retrasar la apertura para beneficiar a alguien | Apertura automática por el sistema - sin intervención humana | Absoluto |
| Alterar el ranking de ofertas | Cálculo automático e inmutable por el sistema | Absoluto |
| Ingresar una oferta fuera de plazo | Cierre automático del período - acceso físicamente bloqueado | Absoluto |
| Administrador que filtra precios | No tiene acceso a la clave de descifrado antes del cierre | Absoluto |
| Adjudicación injustificada fuera del menor precio | Campo de justificación obligatorio y documentado | Procedimental |