Cuentas de emergencia y descubrimiento de privilegios

Una cuenta de emergencia, también llamada de cristal roto, es la que se usa cuando lo normal no funciona: la bóveda no responde, el servicio de autenticación está caído, el único administrador se quedó sin acceso. Por su propósito, suele tener un privilegio muy alto y quedar fuera de algunos controles que podrían impedirle entrar justo cuando hace falta. Esa excepción es razonable solo si se compensa con tres cosas: que sean pocas, que su secreto esté guardado fuera del flujo normal y que cualquier uso dispare una alerta a alguien que vigila. Se prueban cada cierto tiempo, porque una cuenta de emergencia que no se probó puede no funcionar el día que se necesita.

Lee cuentas_emergencia y eventos_emergencia. La regla de Pagua es que un uso dispare una alerta que llegue a quien vigila en 15 minutos como máximo. Cruza los inicios de sesión con la columna de alerta y con la configuración de cada cuenta. Una de ellas se usó, no hay ticket que lo justifique y la alerta nunca salió.

La regla pide probar cada cuenta de emergencia cada 90 días. La revisión es del 2026-10-05. Toma la cuenta que acabas de identificar y cuenta los días desde su última prueba. Resta el plazo: el resultado es lo que lleva de retraso.

El descubrimiento es un recorrido periódico por los sistemas que lista las cuentas con privilegios que encuentra, sin fiarse del inventario que alguien armó. Compara esa lista con lo custodiado: la tabla descubrimiento dice, para cada cuenta, si está en la bóveda. Una cuenta fuera de la bóveda que no se usa hace meses es un resto; una que se usó el día de la revisión es una cuenta viva que nadie custodia ni rota, y es la que más urge.

Para decidir cuánto trabajo viene, falta la cifra: cuántas de las cuentas descubiertas no están en la bóveda. Cuéntalas en la tabla descubrimiento.