ROOTKey vs almacenamiento inmutable (WORM, object lock): ¿cuál es la diferencia?
Respuesta breve
El almacenamiento inmutable, como el WORM (write once, read many), un bloqueo de objetos con período de retención o una base de datos append-only, es un control preventivo: intenta impedir que un registro se modifique o se borre una vez escrito. ROOTKey añade una capa de verificación criptográfica: sella una huella digital de cada versión en un registro público independiente, para que un tercero pueda confirmar que un registro está exactamente como estaba, muestra qué ha cambiado - quién, cuándo y dónde - y restaura solo lo alterado. La inmutabilidad es una promesa sobre el comportamiento de un sistema; la verificabilidad es una prueba que un tercero puede confirmar por sí mismo. Ambas se complementan.
- Huella digital
- SHA-256para cada versión, con fecha y hora
- Detección
- Continuaqué, quién, cuándo y dónde
- Alcance
- Archivo · tabla · filasolo lo alterado
- Conectores directos
- 4SharePoint · OneDrive · Amazon S3 · Cloudflare R2
Lado a lado: almacenamiento inmutable y ROOTKey
Hay dos preguntas que se confunden a menudo: "¿se puede modificar este registro?" y "¿puedo demostrar a un tercero que no se modificó?". La tabla muestra a cuál responde cada uno.
| Almacenamiento inmutable | ROOTKey | |
|---|---|---|
| Qué responde | ¿Se puede modificar este registro? | ¿Puedo demostrar a un tercero que no se modificó? |
| Qué registra | Los propios datos, que se mantienen inalterables durante un período de retención | Una huella digital SHA-256 de cada versión, sellada con marca de tiempo en un registro público independiente; con conectores y despliegues a medida, el contenido permanece donde está |
| Prueba ante tercerosintegridad demostrada a otros | Su garantía es una afirmación sobre cómo está configurado y administrado un sistema, un sistema que el auditor no controla | Cualquiera puede recalcular la huella y compararla con la sellada; los auditores externos pueden verificar sin acceder a los datos originales |
| Detalle del cambioqué, quién, cuándo y dónde | Diseñado para impedir los cambios, no para explicarlos | Sí: cualquier cambio se detecta y se explica - qué, quién, cuándo y dónde |
| Restauración selectivasolo lo alterado | Los registros protegidos se mantienen tal como se escribieron; restaurar datos guardados en otro lugar queda fuera de su alcance | Sí: la última versión comprobadamente válida, hasta un único archivo o una única fila |
| Verificación independiente | Depende de la configuración del sistema y de los permisos de quien lo administra | El punto de referencia es un registro público independiente, que no controla únicamente quien almacena los datos |
| Almacenamiento existentefunciona con lo que ya usa | Es una capa de almacenamiento: los datos deben escribirse en ella | Funciona sobre el almacenamiento existente: conectores directos a SharePoint, OneDrive, Amazon S3 y Cloudflare R2, REST API y webhooks |
| Evidencia regulatoria | Apoya los requisitos de conservar registros sin cambios durante un período determinado | Una pista de auditoría criptográfica, informes de integridad y paquetes de evidencia para NIS2 (art. 21, 23), DORA (art. 9, 17) y RGPD (art. 32), exportables para los reguladores |
Cuándo necesita cada uno
- Almacenamiento inmutable
- Cuando registros, logs o backups deben conservarse sin cambios durante un período de retención y protegerse frente a la modificación o el borrado una vez escritos.
- ROOTKey
- Cuando tiene que demostrar la integridad ante alguien que no controla sus sistemas - un auditor, un regulador o un tribunal -, cuando los datos están en un almacenamiento común, cuando necesita ver exactamente qué ha cambiado, o cuando la prueba tiene que sobrevivir a una migración o a un cambio de proveedor.
El almacenamiento inmutable conserva lo que se escribió. Si los datos ya estaban manipulados cuando se escribieron, mantiene ese estado con el mismo rigor, igual que cualquier sello hecho sobre ellos. ROOTKey demuestra que sus datos no han cambiado desde que se sellaron y muestra cualquier cambio posterior.
Cómo funcionan juntos
Un registro puede ser verificable aunque esté en un almacenamiento común, siempre que su huella se haya anclado en un lugar independiente. En un almacenamiento inmutable, el mismo sello añade una prueba que un tercero puede comprobar.
Conservar
El almacenamiento inmutable impide que registros, logs y backups se modifiquen o se borren durante su período de retención.
Anclaje
Cada versión de cada archivo, tabla o registro recibe una huella digital única, sellada en un registro público independiente con marca de tiempo. Con conectores y despliegues a medida, el contenido original permanece donde siempre ha estado.
Verificar
Para verificar, se recalcula la huella del archivo tal como está hoy y se compara con la que se selló. Si coinciden, el contenido no ha cambiado desde el momento del sellado. Cada acción se sella con una marca de tiempo criptográfica, formando una cadena de custodia lista para los auditores y exportable para los reguladores.
ROOTKey se conecta directamente a Amazon S3 y Cloudflare R2, de modo que los datos que guarda allí pueden sellarse y verificarse donde están: Integraciones.
Preguntas frecuentes
¿Basta el almacenamiento inmutable para una auditoría?
La inmutabilidad es útil y a menudo necesaria, pero una auditoría necesita una prueba que pueda confirmarse de forma independiente. El almacenamiento inmutable impide los cambios; una prueba verificable permite a cualquier tercero confirmar que nunca ocurrieron. ROOTKey añade esa prueba sobre el almacenamiento que ya utiliza.
Si mi almacenamiento es inmutable, ¿qué queda por verificar?
El almacenamiento inmutable conserva lo que se puso en él. Si los datos ya estaban manipulados cuando se escribieron, si un evento nunca se registró o si un proceso falló en silencio, mantiene ese estado con el mismo rigor, y un sello hecho después tampoco lo ve. Desde el momento en que se sellan, ROOTKey demuestra que sus datos no han cambiado y muestra cualquier cambio posterior: qué, quién, cuándo y dónde.
¿Qué registra ROOTKey en el registro público independiente?
Una huella digital: un valor corto, único para ese contenido exacto, sellado con marca de tiempo. Al registro solo va la huella, nunca el contenido. Con conectores, el contenido original permanece donde siempre ha estado; con un despliegue a medida, sus datos permanecen en su propia infraestructura. En la plataforma SaaS, ROOTKey los aloja en la UE.
¿ROOTKey sustituye al almacenamiento inmutable?
No. La inmutabilidad es un control preventivo y ROOTKey añade una capa de verificación criptográfica. Ninguno sustituye al otro: funcionan mejor juntos.