La red y la identidad como se heredaron

Una regla temporal es una excepción en forma de configuración: nació con fecha de caducidad y solo sirve si alguien la retira. Cuando el vencimiento pasa y la regla sigue activa, es peor que una regla permanente, porque nadie recuerda por qué existe. Que además siga recibiendo tráfico significa que algo ya depende de ella.

Los niveles de confianza ordenan la red: lo que vive en una zona de nivel alto no debería ser alcanzable directamente desde una de nivel bajo, sino a través de algo que controle el paso. Cada regla activa que salta de abajo hacia arriba es un atajo que el diseño tendría que justificar.

Una cuenta privilegiada sin dueño no se revisa, no se rota y no se retira cuando cambia el proceso que la usaba, pero sigue funcionando todos los días. Entre las cuentas con privilegios hay personas con segundo factor, personas sin él, y servicios, que no usan segundo factor pero sí deben tener quien responda por ellos.

El acceso condicional solo protege las aplicaciones que alguna política nombra. Una aplicación que ninguna política cubre no está protegida por exigir algo distinto: no está protegida por política alguna. Para encontrarla hay que cruzar el inventario con las políticas, porque ninguna de las dos tablas dice por sí sola lo que falta.

La directora cuenta con una persona de plataforma durante una semana. Lo que cierra más riesgo por hora de trabajo no es lo más vistoso sino lo que quita un privilegio sin dueño y cubre lo que nadie cubre, con los controles que la empresa ya tiene. Elige.