Recertificación de accesos: la calidad de la revisión

La recertificación (o revisión periódica de derechos de acceso, control 5.18 de ISO/IEC 27001:2022) tiene un propósito: que alguien con criterio confirme que cada acceso sigue siendo necesario. Una campaña terminada no es una campaña buena. Al auditor le interesan tres cosas: que el revisor sea el correcto, que decida derecho por derecho y que lo que se decida revocar se ejecute.

La herramienta suele informar un porcentaje de avance. Ese número mide que se pulsó un botón, no que se leyó.

Un revisor que aprueba todo no es sospechoso por sí solo: puede que sus permisos estén bien. Lo que delata la firma sin lectura es la combinación: aprobar el cien por ciento de una lista larga y hacerlo en segundos. La política de Cobrizo trata una decisión de menos de cinco segundos como no leída.

Abre resumen_por_revisor. Hay otro revisor que también aprobó todo, pero tardó mucho más por decisión: no es el que se busca.

La política dice que el propio usuario nunca revisa su acceso. Es la versión más simple de un conflicto de intereses: nadie suele quitarse un permiso que usa. La herramienta puede permitirlo si el asistente de asignación se configuró mal, y solo se ve en el detalle, no en el resumen.

Abre detalle_de_la_muestra y compara, fila por fila, el usuario con el revisor.

Decidir revocar no quita el acceso: alguien tiene que ejecutarlo. Entre una cosa y otra hay una ventana donde el derecho sigue vivo, y por eso la política fija cinco días. Una revocación pendiente dentro del plazo es normal; una pendiente fuera de plazo significa que la campaña dijo que corregía y no corrigió.

Abre revocaciones y mira la fecha de corte del 31 de mayo. Hay otra revocación ejecutada tarde, pero ejecutada; no es la que se busca.

Con lo visto, el auditor tiene que decidir qué valor tiene la campaña como evidencia. No la rechaza en bloque, ni la acepta por su avance: separa lo que sí prueba de lo que no, y pide repetir lo débil con un revisor distinto.