Recertificación de permisos con evidencia

La recertificación, o revisión periódica de accesos, pide a alguien que conoce el trabajo de cada persona que confirme o retire cada permiso. NIST SP 800-53 rev. 5 la recoge en el control AC-6(7), que pide revisar con una frecuencia definida los privilegios asignados y retirar los que ya no hacen falta. Como evidencia de auditoría se presenta casi siempre igual: campaña cerrada, cien por ciento revisado.

Ese cierre prueba que alguien pulsó un botón por cada elemento. Para que pruebe algo más hay que mirar tres cosas: si el revisor tenía datos para decidir (último uso, qué concede el acceso), si decidió de verdad (tiempo por decisión, elementos sin uso aprobados) y si lo revocado se retiró en el sistema real. A escala, la tercera es la que más falla: decidir es barato y ejecutar depende de cada sistema.

Aprobar todo no es por sí mismo una señal: un equipo pequeño y estable puede tener todos sus permisos en orden. La señal es aprobar todo cuando la propia campaña mostraba motivos para dudar, como accesos sin uso en meses, y hacerlo a una velocidad que no deja leer el elemento.

Abre el laboratorio y lee campana-2027-T3.txt y decisiones-por-revisor.txt. Combina las columnas antes de señalar a nadie.

Una revocación decidida y no ejecutada es peor que no haber revisado: la auditoría la cuenta como resuelta. Hay tres formas de que eso pase, y las tres están en esta campaña: el ticket que sigue abierto, el sistema sin ningún mecanismo de ejecución y el ticket cerrado que quitó el rol directo mientras la persona lo sigue heredando por un grupo.

Lee revocaciones.txt y conciliacion-visor-planos.txt y cuenta, sistema por sistema, las revocaciones cuyo acceso seguía activo en la fecha de corte.

El revisor debe ser alguien distinto de quien tiene el acceso. Si la regla «el jefe directo revisa» se aplica sin excepción, el jefe que también tiene accesos del alcance acaba revisando los suyos. Busca en la muestra el elemento donde la persona y el revisor coinciden.

La dirección quiere que la campaña del cuarto trimestre produzca evidencia que se sostenga ante la auditoría.