Mínimo privilegio y separación de funciones

El mínimo privilegio no es un permiso pequeño y común a todos: es el permiso que una cuenta necesita para su tarea, durante el tiempo que la necesita. Se mide comparando lo concedido con lo usado. Si una cuenta tiene diez permisos y usa dos, ocho son superficie que no compra nada.

El principio vale también para las cuentas de servicio, que son las que más se olvidan. Una persona al menos se queja cuando le falta un permiso; un servicio con demasiado acceso nunca avisa.

La tabla permisos de Rutero guarda, por cada cuenta, el permiso que tiene y el que usó en los últimos 90 días, tomado del registro de accesos. La diferencia entre las dos columnas es el privilegio sobrante. Aquí no importa quién pidió el permiso ni por qué se dio: importa que el uso real cabe en algo mucho más pequeño.

Busca la cuenta de servicio cuyo permiso concedido es de administración y cuyo uso real es de solo lectura.

La separación de funciones parte una operación delicada entre varias personas, de modo que ninguna pueda completarla sola ni tapar su propio error. El diseño correcto se escribe antes de que alguien lo necesite: una matriz de funciones incompatibles, como crear un proveedor y aprobar un pago a ese proveedor.

Cuando una persona reúne las tres funciones, un registro de auditoría no la repara: llega tarde, después del pago. La reparación de diseño es repartir las funciones.

La tabla aprobaciones_de_pagos registra quién creó, quién aprobó y quién liberó cada pago de abril. En un diseño sano las tres columnas cambian de persona. Una fila donde se repite el mismo nombre en las tres es la evidencia de que la matriz de funciones incompatibles no se está cumpliendo.

La tabla roles_asignados lista las funciones que tiene cada persona. La matriz de conflictos dice que crear proveedor y aprobar pago no pueden coincidir en la misma persona. El conteo de quién rompe la regla no está en ninguna celda: se obtiene cruzando las filas.

Cuenta cuántas personas reúnen las dos funciones en conflicto.