Leo · 2026-10
Un NAS con auditoría de accesos deja constancia de qué cuenta abrió qué archivo, cuándo y con qué resultado, y conserva ese rastro dentro de la propia organización. Sirve a despachos, clínicas y gestorías que deben demostrar ante un cliente, una aseguradora o una autoridad quién consultó datos personales y en qué momento.
La petición casi nunca nace en el departamento de informática. Llega en un cuestionario de cliente, en la renovación de una póliza o en una inspección que pregunta cómo se controla el acceso a las carpetas de expedientes.
Aquí encontrará qué debe contener cada registro, cuánto ocupa, cómo encaja con el RGPD y cómo comprobarlo en media hora antes de firmar el pedido.
Hay un punto que decide la compra y no aparece en la ficha técnica: la custodia. Si el registro vive en el portal del proveedor, usted no puede entregarlo sin pedir permiso. Si vive en el equipo que está en su sala técnica, lo entrega cuando se lo piden.
Una línea útil contiene cinco datos: la cuenta que actúa, la fecha y hora, el objeto afectado, la acción realizada y el resultado. Con menos de esos cinco campos, el registro no responde a las dos preguntas que plantea cualquier revisión: quién tenía acceso y qué hizo con él.
Las categorías de evento que conviene exigir son estas:
Un registro sin cuenta es un diario. Un registro sin objeto es un rumor de actividad.
Porque los permisos deciden quién llega a qué, y un registro que los omite no puede contestar la primera pregunta de una revisión. Esa pregunta rara vez trata de un empleado cualquiera. Trata de quién abrió el acceso a la carpeta donde están los expedientes.
Un rastro que cubre a los usuarios y deja fuera al administrador describe el tráfico y esconde las obras.
El cálculo cabe en una fórmula y se resuelve en una hoja de cálculo: GB = eventos por día × bytes por registro × días de retención ÷ 1024³. El resultado suele ser pequeño frente a la capacidad del equipo, y esa es la razón por la que el registro se apaga por falta de responsable y no por falta de disco.
Un ejemplo con números redondos. Una oficina de 40 personas genera 6.000 eventos al día. A 1,5 KB por evento son 8,79 MB diarios. Con dos años de retención, 6,27 GB.
Compare esa cifra con la capacidad utilizable de un equipo de cuatro bahías con cuatro discos de 8 TB en RAID 5: (4 − 1) × 8 = 24 TB. El registro ocupa un 0,025 % de ese espacio. Los discos y el nivel de RAID son una elección del lector, no un dato de nuestra ficha técnica.
El coste de conservar el registro es el disco que ya tiene, no una cuota mensual por evento. En un equipo de compra única, el gasto de auditoría no crece con el número de accesos.
El Reglamento General de Protección de Datos no fija un plazo único para los registros de acceso. Exige que el tratamiento tenga una finalidad determinada y que los datos se conserven solo mientras esa finalidad siga viva, lo que en la práctica obliga a documentar por qué existe el registro y cuándo se borra.
La Agencia Española de Protección de Datos aplica el mismo criterio en sus guías: la medida de seguridad se justifica por el riesgo y se documenta, no se declara.
De ahí sale una frase que conviene repetir en las reuniones de compra. Ningún equipo se certifica en RGPD. Lo que se puede verificar es la arquitectura: dónde se procesan los datos, quién puede leerlos, quién puede borrarlos y qué rastro queda de cada acceso.
En una compra europea, la conversación rara vez se queda en la función técnica. El comprador suele llegar con tres documentos sobre la mesa: el contrato de encargado del tratamiento del artículo 28, una descripción de dónde se procesan los datos y una política de conservación y supresión con fechas. Ninguno de los tres se resuelve con una casilla de la ficha técnica. Se resuelven describiendo la arquitectura, porque un equipo que trabaja en la sala del cliente, con cuentas separadas y un registro que el propio cliente puede exportar, permite responder a los tres con hechos verificables. Un servicio externalizado obliga a responder con la política de un tercero, que se rige por sus propias condiciones.
Conviene bajar el problema a un escenario hipotético, con cifras del supuesto y no de un cliente real: una gestoría mediana de Sevilla, con tres sedes y dieciocho personas en plantilla, que trasladó los expedientes de una unidad de consumo compartida a un equipo propio en la sala técnica. El detonante fue un cliente industrial que, en su auditoría de proveedores, pidió pruebas de acceso a una carpeta concreta de ejercicios anteriores.
En la unidad compartida, esa pregunta se contestaba con una promesa de consultar al soporte. En el equipo local se contestó con un filtro por fechas y cuentas.
El dilema no era técnico, era de alcance. Registrar cada lectura de cada archivo produce un volumen que nadie revisa. Registrar accesos, cambios de permisos y modificaciones produce un conjunto que un socio puede leer antes de una reunión con el cliente. La decisión que tomaron fue registrar de forma permanente los eventos administrativos y de permisos, y conservar las modificaciones de archivo durante el plazo de los expedientes.
Ese reparto es el que solemos recomendar cuando solo se puede ajustar una cosa. Si tuviera que elegir por nosotros, empezaría por los eventos de permisos y administración, porque son el punto de partida de cualquier auditoría y los que menos se notan en el uso diario.
El razonamiento cambia de acento. En México, Colombia o Chile el comprador pesa primero el coste total a cinco años, después la facilidad de importación y al final la función. La compra única encaja mejor que una suscripción cuando el presupuesto se aprueba por ejercicio y el tipo de cambio juega en contra.
Tres comprobaciones ahorran disgustos en la frontera. La primera es la documentación de conformidad que acompaña al envío: declaración de conformidad CE, informe de ensayo FCC y declaraciones RoHS y REACH, además del conjunto publicado de certificaciones CE, UKCA, FCC, RoHS, REACH y WEEE. La segunda es la variante de adaptador de corriente para la red local. La tercera es preguntar por escrito cómo se cubrirán los repuestos mientras el equipo siga en servicio, y guardar esa respuesta junto a la cotización.
El marco legal tampoco es idéntico. La LGPD brasileña, la Ley 1581 colombiana y la LFPDPPP mexicana comparten la lógica de finalidad y conservación, pero cada una tiene su propio procedimiento ante la autoridad. El registro de accesos sirve a las tres porque describe hechos, no interpretaciones.
La comparación útil no es entre marcas, sino entre ubicaciones del rastro. Cada opción responde de forma distinta a la pregunta de quién puede entregar la prueba y quién puede borrarla.
| Criterio | NAS local con auditoría | NAS local sin auditoría | Nube de un tercero |
|---|---|---|---|
| Dónde queda el rastro | En el equipo, dentro de su sala técnica | No existe | En la infraestructura del proveedor |
| Quién puede borrarlo | Su organización, mediante un procedimiento documentado | No aplica | El proveedor y quien controle su cuenta |
| Exportación por fechas | Sí, si la función está incluida: compruébelo | No aplica | Según la consola del proveedor |
| Retención y supresión | Usted fija el plazo y lo documenta | No aplica | Sujeta a la política del proveedor |
| Coste a tres años | Compra única más discos | Compra única | Cuota recurrente según tarifa del proveedor |
La segunda columna es la que más se encuentra en pymes: un equipo correcto al que nadie pidió registro. La tercera no es un error de compra, es una decisión distinta sobre quién custodia la prueba.
Redacte los requisitos como exigencias y no como deseos. Una especificación que pide «soporte de auditoría» se cumple con casi cualquier cosa; una que nombra los eventos y la exportación, no.
Si su organización tiene varias sedes con niveles de acceso distintos, la plataforma de cuatro bahías X4 de woCyber es la que solemos señalar para ese caso: hasta 120 TB, RAID 0/1/5/6/10 y dos puertos 2.5GbE con agregación de enlaces. Para una oficina única, la plataforma S2 de dos bahías llega a 60 TB y mantiene el mismo enfoque de compra única.
La documentación de conformidad que publica woCyber, con el conjunto CE, UKCA, FCC, RoHS, REACH y WEEE, está en la página de certificaciones, y las fichas técnicas se descargan desde el centro de descargas.
Pida una unidad de demostración o una muestra y ejecute esta secuencia. Media hora de pruebas resuelve más dudas que veinte páginas de especificación, y deja una decisión tomada con evidencia propia.
Dos resultados cierran la evaluación con rapidez. Si el cambio de permiso no aparece en la exportación, el registro no aguantará una revisión real. Si la exportación solo existe dentro de un portal del proveedor, su organización no custodia su propia prueba.
La exportación por fechas y el cambio de permiso son las dos pruebas que separan una demostración de una compra. Un NAS con auditoría de accesos que no supera ninguna de las dos es un disco de red con funciones extra.
Ya sea almacenamiento de vigilancia, nube privada para sus datos o un socio OEM/ODM, nuestro equipo de exportación le indicará la plataforma adecuada para su aplicación, con respuesta en un día laborable.
El almacenamiento de IA en el borde es un equipo que analiza y archiva los datos de un modelo en sus propias…
September 20, 2026La fabricación OEM de servidores NAS consiste en encargar a un fabricante consolidado el diseño, la certificación y la producción de equipos…
Nuestro equipo de exportación le facilita la guía de cooperación OEM/ODM y un presupuesto por escrito.
