Ciclo de vida de las identidades: ingreso, movimiento y salida

5 tareas · 38 min · Principiante

Toda cuenta nace de una persona que ingresa, cambia cuando esa persona se traslada y debería morir cuando se va. En Industrias Cobrizo, una manufacturera ficticia de Cali, la jefa de auditoría interna quiere saber si el directorio de cuentas siguió a RR.HH. durante el trimestre. Al corte del 31 de mayo de 2027 tienes la política, las bajas, el directorio y los traslados. Lees y cruzas; no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

El ciclo de vida de una identidad tiene tres eventos: ingreso (se crea la cuenta y se dan los accesos), movimiento (la persona cambia de área o de función) y salida (se retira todo). Los marcos lo piden con otras palabras: ISO/IEC 27001:2022 habla de gestión de identidades (control 5.16) y de derechos de acceso (5.18), y NIST SP 800-53 de gestión de cuentas (AC-2).

El ingreso y la salida tienen un disparador claro en RR.HH. El movimiento no siempre: el jefe nuevo pide lo que la persona necesita ahora, y casi nadie pide quitar lo de antes.

Responde para continuar

¿Por qué el traslado entre áreas es el evento del ciclo de vida más difícil de auditar?

Porque los traslados son tan poco frecuentes que RR.HH. no los registra y no queda nada que comparar entre fuentes Porque la solicitud pide los accesos nuevos y nadie pide quitar los anteriores, así que los roles se acumulan Porque con cada traslado se crea una cuenta nueva y se pierde la anterior

Ver pista de ayuda

Piensa en qué pide quien solicita el cambio y qué no pide.

La política de Cobrizo fija un plazo: la cuenta se deshabilita a más tardar el día siguiente a la fecha de salida, y una cuenta que sigue activa al corte incumple. Una baja se audita cruzando dos fuentes: la fecha de salida de RR.HH. y la fecha de deshabilitación del directorio. La diferencia es la evidencia.

Abre politica_ciclo_de_vida, bajas_de_rrhh y directorio_cuentas. Une por id_empleado. Una baja incumple si su cuenta se deshabilitó más de un día después de la salida, o si sigue activa.

Responde para continuar

Escribe cuántas de las ocho bajas incumplen el plazo de la política.

Ver pista de ayuda

Compara `fecha_salida` con `fecha_deshabilitada` y no olvides la cuenta que no tiene fecha porque sigue activa.

Una cuenta activa de alguien que ya no trabaja es un riesgo; una que además se usó después de su salida es un incidente en potencia: alguien entró con esa identidad cuando su titular ya no estaba. El auditor no investiga quién fue; deja constancia y escala.

Compara el último inicio de sesión de cada cuenta con la fecha de salida de su titular.

Responde para continuar

Escribe el usuario cuya cuenta registra un inicio de sesión posterior a la fecha de salida de su titular.

Ver pista de ayuda

El último inicio de sesión de esa persona es posterior a su fecha de salida.

La política da diez días tras un traslado para retirar los roles del área anterior. Para saber a qué área pertenece cada rol hay un catálogo. Un rol del área nueva es normal; un rol del área anterior, pasado el plazo, es un hallazgo. Uno dentro del plazo todavía no lo es.

Abre movimientos y roles_por_area. Revisa los cuatro traslados con la fecha de corte del 31 de mayo.

Responde para continuar

Escribe el usuario que conserva un rol del área anterior pasado el plazo de la política.

Ver pista de ayuda

Un traslado reciente todavía está dentro de los diez días; busca el que ya los superó con un rol del área vieja.

Para probar que el ingreso se hace como dice la política no basta leer el procedimiento: hay que mirar casos. Y el sentido en que se toma la muestra cambia lo que se puede descubrir. Si se parte de las solicitudes aprobadas, nunca aparece la cuenta que se creó sin solicitud.

Responde para continuar

Para probar que el ingreso se cumple, ¿qué muestra pides?

Una muestra de solicitudes aprobadas, sin comprobar si la cuenta llegó a crearse Una muestra de cuentas creadas en el periodo, y para cada una su solicitud aprobada y su id de empleado en RR.HH. El procedimiento de ingreso firmado por la jefa de TI y por la gerencia

Ver pista de ayuda

La población es lo que existe en el directorio, no lo que alguien dice haber pedido.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El evento que suma sin restar

2 Las bajas que llegaron tarde Lab

3 Una cuenta que se usó después de la salida Lab

4 El rol que se quedó atrás Lab

5 De dónde sale la muestra

Whoami-Labs Pro utiliza cookies