Mi proveedor no me proporciona logs para demarcar un incidente

¿Tienes razón?

Que usted tenga razón depende de tres cosas clave: lo que dice su contrato, quién administra el sistema donde ocurrieron los hechos, y si esos registros contienen datos de terceros cuya entrega esté restringida por ley. Primero, el contrato: hay proveedores que incluyen en el servicio la custodia y entrega de logs; otros no. Segundo, la titularidad técnica: si el servicio está en su infraestructura virtualizada o en un segmento dedicado, es más probable que el proveedor deba colaborar. Si la infraestructura es compartida, la entrega puede estar limitada por motivos técnicos o de privacidad. Tercero, la protección de datos: si los logs contienen datos personales de terceros, el proveedor puede alegar obligaciones de confidencialidad o protección. En la práctica, si usted necesita los logs para probar un fraude, un acceso no autorizado o una filtración, su posición mejora si el proveedor se comprometió contractualmente a conservar y entregar esa información o si hay indicios claros (capturas, alertas, backups) que la corroboren.

Cómo se soluciona

1. Reúna la documentación inmediata: contrato de servicio, políticas de privacidad del proveedor, facturas, correos y capturas de pantalla del incidente. Exporte mensajes de soporte técnico y las comunicaciones con fecha y hora. Si tiene alertas de su sistema o capturas del comportamiento anómalo, guárdelas como archivos separados.

1. Pida los logs por escrito de forma fehaciente. Envíe un correo con acuse de recibo o una carta con certificado de entrega; incluya qué archivos solicita (por ejemplo, logs de acceso, logs de base de datos, registros de firewall), el rango de fechas afectado y el formato en que los necesita. Solicite, además, un informe técnico explicativo si el proveedor no puede entregar los logs en bruto.

1. Si el proveedor alega limitaciones técnicas, pida un informe del equipo técnico del proveedor que explique la imposibilidad. Solicite también opciones alternativas: extracción por su personal en presencia de personal del proveedor, entrega mediante mediador técnico o exportación a un contenedor forense.

1. Preserve la evidencia propia. Haga copias forenses de sistemas que controla: exporte discos virtuales, snapshots, volcados de memoria si es posible y registre hash de los archivos. No manipule ni borre nada en caliente sin asesoría técnica, porque puede destruir la prueba.

1. Involucre autoridades técnicas o administrativas si procede. Para delitos informáticos, la denuncia ante la Fiscalía o una autoridad competente puede ordenar acciones de preservación. Para conflictos contractuales o de consumo, presente un reclamo ante la entidad correspondiente y adjunte la negativa del proveedor.

1. Si la vía administrativa no funciona, plantee una acción judicial. Un juez puede ordenar medidas de prueba (incautación de registros, acceso dirigido) y obligar al proveedor a entregar los logs. Para esa fase necesitará la documentación anterior y pruebas de la negativa.

En cuanto a quién hace qué: usted puede reunir pruebas, solicitar los logs y conservar su propia evidencia. Un técnico informático con experiencia en informática forense puede ayudar a exportar datos y firmar la cadena de custodia. Un abogado evalúa los contratos, redacta comunicaciones fehacientes y solicita medidas ante autoridades o jueces cuando la negativa es injustificada.

Qué puede pasar

1) Se arregla con una carta o extracción técnica. Lo más frecuente es que el proveedor, frente a una petición bien fundamentada y con respaldo técnico, entregue los archivos o permita la extracción forense. Esto suele resolverse con un acuerdo técnico y no implica costes legales elevados.

2) Acuerdo o mediación. Puede llegar a un acuerdo que incluya entrega parcial de la información, un informe pericial del proveedor o la intervención de un tercero independiente para la extracción. En muchos casos un acuerdo de confidencialidad resguarda datos sensibles y facilita la entrega.

3) Procedimiento judicial o penal. Si hay indicios de delito (acceso no autorizado, fraude, exfiltración de datos) y el proveedor insiste en la negativa, puede hacerse una denuncia penal. En ese escenario, el fiscal o el juez pueden ordenar la entrega y preservación de los logs. Si usted inicia un proceso civil, el juez puede ordenar medidas precautorias y la producción de prueba. Si pierde un litigio por falta de pruebas, la consecuencia práctica es que no se pruebe el hecho; además, podrían imputarle costas judiciales dependiendo de cómo avance el caso.

Y si gana, ¿cobra? Que la justicia reconozca su derecho no siempre garantiza la ejecución. Si el proveedor no tiene bienes suficientes o está en otra jurisdicción, una sentencia puede ser difícil de ejecutar. Por eso conservar pruebas técnicas y contratos que acrediten obligaciones contractuales del proveedor es clave para la eficacia final.

Errores que arruinan el caso

• No pedir los logs por escrito y dejar todo en conversaciones verbales o chats sin respaldo. Sin registro fehaciente, la negativa es difícil de demostrar.
• Manipular la evidencia propia: reiniciar servidores, borrar archivos o descargar datos sin registrar la cadena de custodia destruye la prueba.
• No exigir al proveedor un informe técnico de negativa: sin ese documento, la simple excusa técnica es difícil de refutar.
• Ignorar las cláusulas del contrato que limitan la entrega de datos o establecen canales y formatos específicos; eso le puede dejar fuera de la vía correcta.
• Esperar demasiado tiempo para actuar: la pérdida de logs por rotación automática es frecuente, y si no exige su conservación, la información puede desaparecer.