Lo que pide un auditor, o el motor de evidencias de Sekit.
Sincronización horaria de los sistemas
La prueba de que todos los sistemas tienen la hora sincronizada con una fuente fiable, lo que es clave para investigar incidentes.
Del catálogo de evidencias de Sekit
En la práctica
La sincronización de reloj suena trivial hasta que una investigación necesita alinear un log de firewall con una alerta de endpoint y las marcas de tiempo no coinciden, porque cada dispositivo tenía su propia idea de la hora. Lo que funciona: apuntar cada servidor, estación de trabajo y dispositivo de red a la misma fuente NTP, y alertar automáticamente cuando un reloj se desvía más allá de un umbral, en lugar de descubrirlo durante un incidente. Los servicios en la nube suelen sincronizarse solos, pero los servidores autogestionados y el equipo de red son donde ocurre la desviación. Los auditores rara vez profundizan aquí; verifican un reloj contra la fuente de referencia y preguntan el umbral de alerta.
Brechas habituales
El NTP está configurado en los servidores, pero un puñado de dispositivos de red quedaron con su reloj interno predeterminado, desviados minutos respecto al resto.
No existe alerta cuando un reloj se desvía, así que la única forma de notarlo es cuando una investigación falla al correlacionar dos fuentes de logs.
La política de sincronización de tiempo nombra una fuente confiable, pero nadie ha verificado que cada dispositivo apunte a ella y no a un predeterminado antiguo.
Preguntas que hará tu auditor
¿Están todos los sistemas sincronizados con la misma fuente de tiempo confiable?
Sí, cada servidor, estación de trabajo y dispositivo de red apunta a la fuente NTP aprobada nombrada en la política de sincronización de tiempo.
¿Qué ocurre si el reloj de un sistema empieza a desviarse?
Una alerta se dispara automáticamente cuando la desviación supera el umbral definido, así se detecta antes de que interfiera con la correlación de eventos durante una investigación.
¿Cómo se verifica la sincronización de tiempo en todo el entorno, más allá de la configuración inicial?
Una verificación recurrente confirma que los relojes de servidores, endpoints y dispositivos de red siguen coincidiendo con la fuente aprobada, no solo en la configuración inicial.
Dónde lo exige la regulación
El art. 3.2 de NIS2 exige monitoreo y registro capaces de reconstruir eventos, lo que depende de que los relojes permanezcan sincronizados en todos los sistemas.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.