Como propietario de un sitio de SharePoint, debe demostrar a los auditores que cada cambio de permisos, políticas y configuración está registrado y justificado. Sin la documentación adecuada, los auditores marcan los sitios como no conformes, lo que puede retrasar proyectos o desencadenar revisiones de seguridad. Este artículo proporciona una lista de verificación práctica para documentar los cambios de administrador de SharePoint en un formato que los auditores esperan. Aprenderá qué registros conservar, cómo capturar los detalles de los cambios y qué herramientas en SharePoint y Microsoft 365 automatizan el proceso de registro.
Puntos clave: Lista de verificación para la documentación de cambios de administrador de SharePoint
- Centro de administración de SharePoint > Registro de auditoría: Captura cada cambio de permisos, uso compartido y configuración del sitio con marcas de tiempo e identidad del usuario.
- Plantilla de formulario de solicitud de cambio: Estandariza lo que los auditores necesitan: fecha, solicitante, descripción del cambio, motivo y nombre de aprobación.
- Etiqueta de retención aplicada a los registros de auditoría: Garantiza que los registros permanezcan disponibles durante el período exigido por el auditor, comúnmente de tres a siete años.
Por qué los auditores exigen cambios de administrador de SharePoint documentados
Los auditores consideran SharePoint como un sistema de registro. Cuando cambia un permiso de sitio, mueve una biblioteca de documentos o modifica una política de retención, altera quién puede acceder a datos confidenciales y cuánto tiempo se conservan los datos. Sin un rastro documentado, el auditor no puede confirmar que el cambio fue autorizado, probado e implementado sin introducir brechas de seguridad. La causa raíz de los hallazgos de auditoría casi siempre son registros de cambios faltantes o incompletos. SharePoint registra muchos eventos, pero los auditores quieren un registro separado legible por humanos que incluya el motivo comercial del cambio, no solo la acción técnica.
Qué buscan los auditores en los registros de cambios de SharePoint
Los auditores generalmente solicitan tres piezas de evidencia para cada cambio de administrador. Primero, un documento de solicitud de cambio que muestre quién solicitó el cambio y por qué. Segundo, un registro de aprobación que muestre quién autorizó el cambio. Tercero, un registro posterior a la implementación que muestre exactamente qué se cambió, por quién y cuándo. La combinación de los registros de auditoría de SharePoint y sus propios formularios de solicitud de cambio satisface la mayoría de los requisitos de auditoría.
Pasos para configurar su proceso de documentación de cambios de administrador de SharePoint
- Cree un formulario de solicitud de cambio estándar en SharePoint
Vaya al sitio donde administra las tareas de administrador. Cree una nueva biblioteca de documentos llamada Change Requests. Dentro de esa biblioteca, cree una plantilla de Word o use una lista de SharePoint con columnas: Date, Requester Name, Change Description, Reason for Change, Approved By, Approval Date, Implementation Date y Status. Este formulario se convierte en la evidencia principal del auditor. - Habilite la captura del registro de auditoría en el centro de administración de SharePoint
Abra el centro de administración de SharePoint. Seleccione Policies > Audit. Confirme que el registro de auditoría esté activado para su inquilino. La configuración predeterminada captura eventos durante 180 días. Para una retención más prolongada, vaya al centro de cumplimiento de Microsoft 365 > Audit > Audit retention policies y establezca un período de retención que coincida con la política de su empresa, generalmente tres o siete años. - Asigne una etiqueta de retención a los registros de auditoría
En el centro de cumplimiento de Microsoft 365, vaya a Records management > File plan. Cree una etiqueta llamada SharePoint Admin Changes con un período de retención de siete años. Publique la etiqueta en todas las ubicaciones de SharePoint. Aplique la etiqueta automáticamente a la biblioteca Change Requests y a la carpeta de exportación del registro de auditoría. Esto garantiza que los registros no se eliminen antes de que finalice el ciclo de auditoría. - Defina un flujo de trabajo de aprobación de cambios
En SharePoint, abra la lista Change Requests. Seleccione Automate > Power Automate > Create a flow. Elija la plantilla Request approval for a SharePoint list item. Configure el flujo para enviar la solicitud de cambio a un grupo de aprobadores específico, como Site Owners o Compliance Team. Cuando el aprobador aprueba, el flujo actualiza el Status del elemento de lista a Approved y registra la fecha de aprobación. Esto crea un rastro de aprobación con marca de tiempo. - Exporte los registros de auditoría mensualmente y guárdelos en la biblioteca Change Requests
En el centro de cumplimiento de Microsoft 365, vaya a Audit > Search. Ejecute una búsqueda de actividades de administrador de SharePoint. Use el filtro de actividad y seleccione Site permissions, Site settings y Sharing changes. Exporte los resultados como un archivo CSV. Guarde el archivo CSV en la biblioteca Change Requests con un nombre de archivo que incluya el mes y el año, por ejemplo AuditLog_2024_01.csv. Esto proporciona un registro técnico sin procesar junto con sus formularios legibles por humanos. - Documente cada cambio de administrador en el formulario de solicitud de cambio
Después de completar un cambio en SharePoint, abra la lista Change Requests y cree un nuevo elemento. Complete todas las columnas: la fecha, su nombre, una descripción concisa del cambio, el motivo comercial, el nombre del aprobador y la fecha de implementación. Establezca el Status en Completed. Esto crea el documento principal que revisará el auditor. - Ejecute una verificación mensual de preparación para la auditoría
Al final de cada mes, abra la lista Change Requests y verifique que cada cambio completado tenga una entrada correspondiente en el registro de auditoría. Correlacione la columna Implementation Date con la exportación CSV. Si algún cambio falta en el registro de auditoría, agregue una nota en el formulario de solicitud de cambio explicando la discrepancia. Este paso proactivo evita sorpresas durante la auditoría real.
Errores comunes al documentar cambios de administrador de SharePoint
La retención del registro de auditoría es demasiado corta
La retención de auditoría predeterminada de 180 días en SharePoint no cumple con la mayoría de los requisitos de auditoría. Muchas organizaciones necesitan conservar registros durante tres a siete años. La solución es establecer una política de retención más larga en el centro de cumplimiento de Microsoft 365 en Audit retention policies. Sin este cambio, los registros de auditoría antiguos se eliminan automáticamente y no se pueden recuperar.
Las solicitudes de cambio no están vinculadas a entradas específicas del registro de auditoría
Los auditores quieren ver que un formulario de solicitud de cambio y el registro de auditoría técnico se refieren al mismo evento. Si solo conserva el formulario, el auditor no puede verificar la implementación técnica. La solución es incluir el ID de registro del registro de auditoría o la marca de tiempo exacta en el formulario de solicitud de cambio. Agregue una columna llamada Audit Log ID a su lista Change Requests y pegue el GUID del archivo CSV exportado.
El flujo de trabajo de aprobación no está documentado
Si aprueba cambios verbalmente o por correo electrónico sin almacenar la aprobación en SharePoint, el auditor no tiene evidencia de autorización. La solución es usar el flujo de aprobación de Power Automate descrito en el Paso 4. El flujo almacena la decisión de aprobación, la fecha y el nombre del aprobador directamente en la lista. Esto crea un registro a prueba de manipulaciones.
Métodos de documentación de cambios de SharePoint: manual vs automatizado
| Elemento | Documentación manual | Documentación automatizada |
|---|---|---|
| Herramienta principal | Documento de Word o lista de SharePoint ingresada a mano | Flujo de trabajo de Power Automate y exportación del registro de auditoría |
| Rastro de aprobación | Aprobación por correo electrónico almacenada en una carpeta separada | Aprobación registrada en la lista de SharePoint con marca de tiempo |
| Correlación del registro de auditoría | Referencia cruzada manual usando marcas de tiempo | Referencia cruzada automática a través de Power Automate |
| Control de retención | El usuario debe recordar conservar los archivos | La etiqueta de retención conserva los registros automáticamente |
| Confianza del auditor | Media, depende de la disciplina del usuario | Alta, aplicada por el sistema |
Ahora puede crear un sistema completo de documentación de cambios que satisfaga los requisitos del auditor. Comience creando la lista Change Requests y el flujo de trabajo de aprobación. Luego, establezca la retención del registro de auditoría en siete años en el centro de cumplimiento. Como paso avanzado, programe un flujo mensual de Power Automate que exporte los registros de auditoría y los guarde directamente en la biblioteca Change Requests. Esto automatiza por completo el proceso de documentación y elimina las brechas de entrada manual de datos.