La identidad como perímetro y el acceso condicional

Cuando se dice que la identidad es el nuevo perímetro no se habla de contraseñas más largas. Se habla de que cada petición se evalúa en el momento con varias señales: quién es la persona y a qué grupos pertenece, desde qué dispositivo y en qué estado, a qué aplicación quiere llegar, desde qué ubicación y con qué nivel de riesgo. Con esas señales una política concede, limita o niega, y puede pedir un control adicional, como un segundo factor.

El perímetro de red decidía por la dirección de origen. La política de acceso condicional decide por el conjunto de señales de cada petición. Es la forma concreta que toma, en una empresa con aplicaciones en la nube, lo que la norma llama política dinámica.

Una política dice «aplica a estos usuarios, sobre estas aplicaciones, bajo esta condición». Lo que queda fuera de «estas aplicaciones» no está protegido por ella, aunque el nombre de la política suene general. Por eso el primer control de una revisión de acceso condicional es el cruce entre las aplicaciones que existen y las políticas que las alcanzan.

Abre la tabla de aplicaciones de Maderas del Tolima y busca las que ninguna política cubre.

Los protocolos de correo heredados autentican con usuario y contraseña en un solo paso y no pueden mostrar al usuario una petición de segundo factor. Mientras la organización los deje abiertos, una contraseña robada sirve sin que nada pregunte nada más. La política que cierra esa puerta en Maderas del Tolima existe, pero fíjate en su estado.

Revisa el registro de inicios de sesión, mira cuáles se permitieron sin segundo factor y localiza el que usó un protocolo heredado.

Toda política tiene excepciones y toda excepción debería tener dueño y fecha. Una excepción sin fecha se vuelve permanente por inercia, y una con fecha ya pasada y que sigue activa dejó de ser un acuerdo para ser un olvido. La cuenta de emergencia fuera de las políticas es una excepción de diseño y se justifica por escrito; las demás hay que mirarlas una por una.

Compara las fechas de vencimiento de las exclusiones con la fecha de la revisión que da la tabla de contexto.

La política que cierra la autenticación heredada está en modo solo informe: evalúa, registra lo que habría bloqueado y no bloquea. Es el modo correcto para empezar, porque muestra quién se rompería antes de romperlo. Se vuelve un riesgo cuando se queda así sin fecha de cambio: la empresa cree que tiene el cierre y lo que tiene es un registro.

El cambio más barato no es apagar el protocolo a ciegas ni dejar la política como está, sino usar el informe que ya se está generando para decidir.