La vista de contexto: actores, sistemas externos y fronteras

La vista de contexto dibuja el sistema en estudio como una sola caja y, alrededor, los actores (personas que lo usan u operan, con el canal por el que entran) y los sistemas externos (los que opera otra organización). Cada línea dice qué cruza: no basta con unir dos cajas, hay que escribir qué dato viaja. La frontera entre la caja y lo de fuera es la frontera de responsabilidad: lo que está fuera lo opera otro, con su contrato.

Lo que no va aquí son los componentes internos, los puertos o las redes: eso pertenece a las vistas lógica y de despliegue. Un contexto bien hecho cabe en una página y responde dos preguntas del comité: quién entra y qué sale hacia quién.

El borrador de una vista de contexto se suele escribir de memoria, y la memoria se olvida de las integraciones pequeñas: la encuesta de satisfacción, el envío de correos, la herramienta que contrató un área. Por eso no se valida contra lo que alguien recuerda, sino contra dos fuentes independientes: el registro de terceros que lleva compras y lo que realmente salió por la pasarela de la plataforma.

Abre el laboratorio y cruza el registro de sistemas externos y las salidas de la pasarela con los elementos del borrador.

Un error más sutil que olvidar un sistema es dibujarlo dentro de la caja cuando lo opera otra empresa. Pasa con los servicios que se integran tan bien que el equipo los siente propios. El efecto es serio: lo que está dentro se supone bajo los controles de la casa, y nadie revisa el contrato, el acceso ni lo que recibe.

Compara la columna «dibujado» del borrador con quién opera cada sistema según el registro de terceros.

Cada línea del contexto dice qué cruza la frontera, y ahí se esconde el error que más interesa a la oficial de privacidad: una etiqueta que describe un dato menos sensible que el que de verdad sale. Si la flecha dice «nombre de una calle» y en realidad salen las coordenadas de cada viaje, nadie va a pedir el contrato de tratamiento que ese dato exige.

Compara la columna «la_flecha_dice» del borrador con lo que el registro de terceros dice que recibe cada sistema.

Los actores del contexto no son solo los clientes. Técnicos de un proveedor, personal de otra área, auditores con acceso de lectura: todos entran por algún canal y cruzan alguna frontera, y cada canal es una puerta que hay que proteger. Un actor sin dibujar es una puerta que no aparece en ningún modelo de amenazas.

Cruza la tabla de actores con los elementos de tipo actor del borrador. Ojo: un sistema externo de una empresa no es lo mismo que las personas de esa empresa que entran a tu plataforma.