Pistas de auditoria criptográficas: como funcionam e porque é que os reguladores passaram a exigi-las

O problema dos registos de auditoria convencionais

Todos os sistemas empresariais geram registos de auditoria. Registos de acesso de utilizadores, registos de gestão de alterações, históricos de chamadas à API, pistas de ações administrativas - os dados existem. Os reguladores exigem-nos. Os auditores analisam-nos. As equipas de resposta a incidentes dependem deles.

Há um problema de que quase ninguém fala: os registos de auditoria convencionais são mutáveis.

Um administrador de bases de dados com os privilégios certos pode editar uma entrada de registo. Um processo de rotação de registos mal configurado pode apagar entradas. Um atacante sofisticado que tenha comprometido uma conta de administrador pode remover seletivamente as provas das suas ações antes que alguém as examine.

Quando o artigo 21.º, n.º 2, alínea g), da NIS2 exige a «segurança dos ficheiros de registo», quando o artigo 9.º, n.º 4, alínea d), do DORA exige a integridade dos registos operacionais de TIC e quando o artigo 12.º do AI Act da UE exige registos do funcionamento dos sistemas de IA, os reguladores não estão a pedir registos convencionais mutáveis. Estão a pedir registos que não possam ser adulterados posteriormente.

As pistas de auditoria criptográficas são a resposta técnica a este requisito.

Como funcionam as pistas de auditoria criptográficas

Uma pista de auditoria criptográfica acrescenta ao registo convencional duas propriedades técnicas:

Encadeamento de hashes. Cada entrada de registo inclui o hash da entrada anterior. Isto cria uma cadeia em que qualquer alteração a uma entrada passada invalida todas as entradas seguintes - o que torna qualquer alteração retroativa imediatamente detetável. É o mesmo mecanismo usado na blockchain, aplicado especificamente à integridade dos registos de auditoria.

Ancoragem externa. Periodicamente (a cada minuto, a cada hora, a cada lote de eventos), o hash atual da cadeia é ancorado num livro-razão independente e imutável. Isto cria um ponto de referência externo, com selo temporal, que não pode ser alterado mesmo que o sistema de registo principal seja comprometido.

Em conjunto, estas duas propriedades significam que:

• Qualquer alteração a qualquer entrada histórica do registo quebra a cadeia e é imediatamente detetável
• Mesmo que um atacante destrua o registo principal, as âncoras externas preservam um registo verificável daquilo que o registo continha em cada ponto de ancoragem
• Os reguladores e os auditores podem verificar de forma independente que um registo não foi alterado, sem dependerem da atestação da própria organização

É assim que as auditorias facilitadas com a ROOTKey funcionam na prática - substituir «temos registos» por «conseguimos provar que os nossos registos são exatos».

import { createHash } from 'crypto';

interface AuditEntry {
  timestamp: string;
  eventType: string;
  actorId: string;
  resourceId: string;
  action: string;
  previousHash: string; // Hash of the previous entry in the chain
  entryHash: string;    // Hash of this entry including previousHash
}

function createAuditEntry(
  event: Omit<AuditEntry, 'previousHash' | 'entryHash'>,
  previousHash: string
): AuditEntry {
  const entry: Omit<AuditEntry, 'entryHash'> = {
    ...event,
    previousHash,
  };

  const entryHash = createHash('sha256')
    .update(JSON.stringify(entry))
    .digest('hex');

  return { ...entry, entryHash };
}

function verifyAuditChain(entries: AuditEntry[]): boolean {
  for (let i = 1; i < entries.length; i++) {
    const expected = entries[i].previousHash;
    const actual = entries[i - 1].entryHash;

    if (expected !== actual) {
      console.error(`Chain break detected at entry ${i}: log has been tampered with`);
      return false;
    }

    // Verify the entry's own hash
    const { entryHash, ...entryWithoutHash } = entries[i];
    const computed = createHash('sha256')
      .update(JSON.stringify(entryWithoutHash))
      .digest('hex');

    if (computed !== entryHash) {
      console.error(`Entry ${i} hash invalid: entry content has been modified`);
      return false;
    }
  }

  return true;
}

O que isto significa para o seu programa de conformidade

A implementação de pistas de auditoria criptográficas traz três benefícios diretos de conformidade:

Cumpre a letra da lei. A NIS2, o DORA e o AI Act da UE exigem todos a integridade dos registos. Uma pista de auditoria criptográfica é a implementação tecnicamente defensável deste requisito - ao contrário de um registo convencional, que um DBA poderia alterar.

Reduz o tempo de preparação das auditorias. Quando um auditor ou um regulador pede provas de que os registos não foram adulterados, uma pista de auditoria criptográfica fornece essa prova automaticamente. Os registos convencionais obrigam a atestar os controlos de segurança - um processo que leva tempo e acarreta risco de responsabilidade.

Reforça as investigações de incidentes. Se ocorrer um incidente de segurança, uma pista de auditoria criptográfica fornece provas forenses que não podem ser contestadas com o argumento de terem sido alteradas posteriormente. Isto é crítico para participações de sinistro às seguradoras, notificações regulatórias e eventuais litígios.

O caso de utilização de auditoria da ROOTKey disponibiliza pistas de auditoria criptográficas como serviço gerido, integrado com os seus sistemas existentes. Comece uma avaliação gratuita e gere hoje a sua primeira pista de auditoria criptográfica.