¿Qué exige este criterio?
Los logs específicos de la TSA deben registrar: (1) cada token emitido (número de serie, timestamp, hash del imprint); (2) errores de emisión; (3) alertas de sincronización NTP (desviaciones, cambios de fuente); (4) accesos al HSM; (5) operaciones administrativas sobre la TSU. Los logs deben ser inmutables y conservarse al menos 5 años (o lo que exija la normativa aplicable). Deben verificarse periódicamente su integridad.

¿Qué hay que revisar al cliente?

• Sistema de logging específico de la TSA (separado de logs generales del sistema).
• Cobertura de todos los eventos relevantes en los logs.
• Inmutabilidad de los logs (no modificables, no borrables antes del periodo).
• Periodo de retención configurado y documentado.
• Verificación periódica de la integridad de los logs.

Preguntas clave para las entrevistas

• ¿Hay logs específicos de la TSA separados de los logs generales del servidor?
• ¿Los logs incluyen el número de serie de cada token emitido con su timestamp?
• ¿Los logs son inmutables? ¿Cómo se garantiza esa inmutabilidad?
• ¿Durante cuánto tiempo se conservan los logs de la TSA?

¿Por qué es esencial para QERDS y TSA?
Los logs de la TSA son la evidencia operativa del servicio: permiten reconstruir qué tokens se emitieron, cuándo y bajo qué condiciones. En una investigación forense (¿se emitió este token realmente a esa hora?) son fundamentales. Su ausencia o corrupción es una no-conformidad grave.

Evidencia que demostraría conformidad

• Ejemplo de log de emisión de tokens (anonimizado, mostrando campos registrados).
• Configuración de inmutabilidad del sistema de logs.
• Política de retención de logs.
• Último resultado de verificación de integridad de logs.