La revisión periódica que hicieron

Una revisión de accesos vale por tres cosas. La hace alguien que sabe qué debe poder hacer cada persona, que es el dueño del proceso, no quien administra los accesos: el administrador sabe cómo se asigna un permiso, no si esa persona lo necesita. Cubre todas las cuentas del alcance. Y deja rastro de lo decidido: qué se retiró y cuándo.

Cuando alguien revisa sus propios accesos o los que él mismo concedió, el control pierde su independencia.

La tabla revisiones trae, para cada trimestre, quién hizo la revisión y con qué cargo. El nombre de usuario es lo que se compara con el dueño de la aplicación, que según el criterio debe firmar.

La cobertura se mide con dos números de la misma fila: las cuentas que estaban en el alcance y las que de verdad se revisaron. Lo que no se revisó no es solo un porcentaje: son cuentas concretas que nadie con criterio miró durante el trimestre. Se informa el número de cuentas, y el porcentaje sirve para dimensionarlo.

La política da 15 días calendario desde el cierre del trimestre para firmar. La revisión del segundo trimestre sí la hizo el dueño, pero conviene medir cuándo. Cuenta los días desde el cierre hasta la firma y réstales el plazo: el retraso se informa sobre el plazo, no el total.

Una revisión sin consecuencias es un trámite. Por eso el auditor sigue cada decisión de retiro hasta su ejecución, comparando la fecha en que se decidió con la fecha en que el sistema la ejecutó. Un retiro decidido que nunca se ejecutó deja el permiso vivo, con la firma del dueño diciendo que no debía estar.