Sala 3 · Gobierno y privilegio en las plataformas

Un cliente registrado en el proveedor de identidad declara a qué direcciones puede devolver el resultado del inicio de sesión. Si esa dirección admite una parte variable, el código o el token pueden terminar en una ruta que controle otra persona. Por eso la política pide identificadores exactos y no admite patrones.

La configuración de cada cliente dice qué direcciones acepta, y de ahí sale cuál no cumple la política. Los clientes de aplicaciones móviles usan esquemas propios y también se leen con el mismo criterio.

Una revisión de accesos solo vale si quien decide es independiente de quien recibe el acceso. Cuando el revisor y el titular son la misma persona, la revisión queda reducida a una firma sin control, aunque conste como completada y con respuesta.

Cada decisión de la campaña trae quién tiene el acceso, quién lo revisó y qué se decidió. Una decisión de retirar tomada por un revisor distinto o por silencio es, en cambio, el comportamiento que la política espera.

El privilegio por activación funciona porque la persona no tiene el rol puesto: lo pide, alguien lo aprueba y le dura un rato. Si quien aprueba es quien pide, el paso de aprobación se vuelve un trámite. La política lo exige distinto sobre los roles que marca como críticos.

El costo de esa debilidad se mide en horas de privilegio crítico activas sin un segundo par de ojos. Los roles que no son críticos quedan fuera de esa cuenta, aunque tengan el mismo defecto.

El informe de usuarios en riesgo no se lee como una lista de nombres: se lee por estado y por antigüedad. Un usuario remediado o descartado ya no cuenta; uno que sigue en riesgo acumula días de exposición, y la política le pone un límite de días a los de nivel alto.

La antigüedad se cuenta desde la detección hasta la fecha de la revisión, que consta en los datos de la empresa. Los de nivel medio quedan fuera de la medición de esta pregunta.

Una plataforma de acceso privilegiado guarda las contraseñas de las cuentas más poderosas y las rota para que una contraseña robada o recordada deje de servir. La política fija un plazo según la criticidad de la caja, y cada caja registra la fecha de su última rotación exitosa.

El atraso se mide desde esa fecha hasta la de la revisión, contra el plazo que la política da a las cajas críticas. Una caja de criticidad menor no se juzga con ese plazo.