Autenticación fuerte: política y cobertura real

Una política dice qué debería pasar; no prueba que pase. La autenticación fuerte (IA-2 en NIST SP 800-53; control 8.5 de ISO/IEC 27001:2022) se prueba con el sistema: una exportación de todas las cuentas obligadas y su estado de inscripción, no con el documento ni con un resumen de quien lo administra.

La política dice qué sistemas son obligatorios. La cobertura de cada uno es su proporción de cuentas activas que tienen el doble factor. Al auditor le interesa el obligatorio con peor cobertura, aunque haya un sistema no obligatorio con una cobertura aún peor: ese no incumple nada.

Abre politica_autenticacion y cobertura_mfa. Divide cuentas con doble factor entre cuentas activas.

El informe a la dirección dice 98% en la VPN. Es una cuenta correcta con un denominador equivocado: se dividió entre los usuarios que ya se inscribieron, que por definición casi todos lo usan. Lo que la política pide es cobertura sobre todas las cuentas activas del sistema.

Abre informe_a_la_direccion y cobertura_mfa. Calcula la cobertura real de la VPN con el denominador de la política y redondea a un entero.

Una excepción es legítima mientras tenga motivo, aprobación y fecha de vencimiento. Cuando la fecha pasa, la persona queda sin excepción: debería haberse inscrito o la excepción renovado. Una excepción vencida y sin renovar es una cuenta obligada sin cobertura y sin justificación.

Abre excepciones_mfa y compara vence con la fecha de corte del 31 de mayo de 2027.

Con la cobertura real a la vista, el auditor tiene que decidir qué dice sobre el informe. No acusa a nadie de mentir: la cifra se calculó con una base que la política no usa. Pide reemplazarla por la medida con el denominador correcto y comunica el efecto a la dirección.