Cómo usar el audit trail de Vericto como evidencia en una auditoría SOC 2

Actualizado el 5 de octubre de 2026: incluye el reporte PDF de cumplimiento, el reporte mensual de Enterprise y el mapeo completo de controles.

El problema de la evidencia en SOC 2 Type II

Una auditoría SOC 2 Type II no evalúa solo si tienes controles: evalúa si funcionaron de forma consistente durante un período, normalmente de 6 a 12 meses. Necesitas evidencia de cada control en operación durante todo ese tiempo, no una política escrita.

Para el acceso a datos, el auditor suele pedir algo concreto: "muéstrame qué operaciones llegaron a la base de producción durante el período, cuáles se bloquearon y qué reglas estaban activas."

Sin una capa que registre cada decisión, responder eso exige reconstruir la evidencia a partir de logs de la base, de la aplicación y de los despliegues: un trabajo manual, propenso a errores y que rara vez cubre el período completo.

Qué registra el audit trail

Cada query que Vericto evalúa en tiempo de ejecución, por el proxy o por la API, genera un evento en el audit trail con:

• Fecha y hora en UTC
• El texto de la query, cifrado con AES-256-GCM en reposo (o sanitizado, según el modo de telemetría)
• Su hash, para buscar y correlacionar sin exponer el contenido
• La decisión: ALLOWED, BLOCKED, FLAGGED o MONITORED
• La regla que se activó, con su código y severidad
• El nodo del AST que la activó, por ejemplo DeleteStmt > WhereClause = NULL
• La base de datos y el canal de origen (tcp para el proxy, http para la API)
• La latencia de la evaluación

Así se ve un evento en el export JSON:

{
  "event_id": "f47ac10b-58cc-4372-a567-0e02b2c3d479",
  "timestamp": "2026-09-15T02:14:33.847Z",
  "database": "prod-db",
  "status": "BLOCKED",
  "rule_code": "VERICTO-001",
  "severity": "critical",
  "ast_node_path": "DeleteStmt > WhereClause = NULL",
  "query_hash": "e3b0c44298fc1c149afbf4c8996fb924...",
  "latency_ms": 1.3,
  "source": "tcp"
}

Por qué el auditor puede confiar en el export

Un log es evidencia solo si nadie pudo alterarlo después. Vericto lo garantiza de dos formas:

• Sin edición ni borrado. La base de datos rechaza modificar o eliminar eventos del audit trail, venga el cambio de donde venga; solo salen de él cuando vence la retención.
• Exports firmados con Ed25519. Cada archivo exportado, y su reporte PDF, se firma completo. El auditor lo verifica sin conexión con la clave pública de Vericto: cualquier cambio, aunque sea un espacio, invalida la firma.

El reporte PDF: lo que el auditor lee

El CSV o JSON es la evidencia cruda. Junto a cada export, Vericto genera un reporte PDF de cumplimiento del mismo período, firmado igual que los datos:

• Resumen del período: queries evaluadas, bloqueadas y marcadas, por severidad y con su tendencia diaria
• Reglas más activadas durante el período
• Mapeo de controles SOC 2 e ISO 27001, con la evidencia de cada uno y lo que la debilita
• La configuración que el proxy aplicaba al inicio y al final del período, y los cambios entre medio
• Un anexo con el hash y la firma del archivo de datos, que liga ambos documentos

Puedes ver cómo es en el reporte de muestra, generado con datos ficticios.

Para qué controles aporta evidencia

La pestaña Controles del dashboard, y la sección 3 del PDF, relacionan la actividad del período con estos criterios:

En ISO/IEC 27001:2022, el mismo mapeo cubre los controles A.5.18, A.8.2, A.8.3, A.8.15, A.8.16 y A.8.32 del Anexo A.

Cómo entregar la evidencia al auditor

• Team: export a pedido. Desde Audit Trail, exporta el período en CSV o JSON. En Reportes descargas el archivo, el reporte PDF y la firma de cada uno. Los archivos están disponibles 7 días: guárdalos en tu repositorio de evidencia.
• Enterprise: un reporte cada mes, sin pedirlo. El día 1 de cada mes Vericto genera el reporte firmado del mes anterior y lo conserva 13 meses, o lo que fije tu contrato. Al llegar la auditoría, los doce reportes del período ya están ahí.
• Cambios en CI: recibos firmados. vericto check --receipt deja un recibo firmado de cada validación de migraciones, que el auditor verifica sin conexión con vericto verify-receipt. Es evidencia directa para la gestión de cambios (CC8.1).

# En CI: valida las migraciones y deja un recibo firmado
vericto check --changed --receipt vericto-receipt.json

# El auditor lo verifica sin conexión, sin cuenta ni credenciales
vericto verify-receipt vericto-receipt.json --show

Retención y período de auditoría

El período de una auditoría Type II suele ser de 6 a 12 meses. Lo que conserva cada plan:

• Free: 7 días de historial, para evaluar Vericto
• Builder: 30 días de historial
• Team: 90 días de historial, con exports y reporte PDF a pedido
• Enterprise: historial ilimitado, o lo que fije tu contrato, y reportes mensuales conservados 13 meses

En Team, exporta cada mes y guarda los archivos con su firma: siguen siendo verificables aunque los eventos salgan de la retención. En Enterprise, los reportes mensuales hacen ese trabajo por ti.

Más allá de SOC 2: ISO 27001 y GDPR

• ISO/IEC 27001:2022: el registro de cada decisión es evidencia para A.8.15 (registro) y A.8.16 (monitoreo), y las reglas para A.8.3 (restricción del acceso a la información).
• GDPR: el Artículo 32 (seguridad del tratamiento) se apoya en la evidencia de controles sobre el acceso a datos personales.

La ventaja de un análisis determinístico del AST es que la afirmación es verificable: "todo DELETE sin WHERE se bloquea" se puede reproducir ante el auditor, sin depender de una probabilidad.