Pruebas de bajas y de privilegios

Para probar que las bajas se hacen, la población son las personas que salieron, y eso lo sabe Recursos Humanos, no el equipo de TI. Si pides a TI «las bajas que procesaste», recibes por definición las que se hicieron, y las que se olvidaron no están en ninguna lista. Se parte de la lista de salidas de RR. HH. y se verifica en el sistema qué pasó con cada cuenta.

Son nueve salidas: población pequeña, se prueban todas.

La cláusula PCA-4.1 fija 24 horas desde la salida efectiva hasta la desactivación. Para cada una de las nueve salidas mides el tiempo transcurrido. Una cuenta que nunca se desactivó no cumple, aunque no tenga fecha que restar.

El resultado de la prueba se escribe así: «de nueve bajas, tantas en plazo».

Entre las bajas fuera de plazo, la gravedad depende del retraso. Se informa sobre el plazo: cuántas horas se tardó de más, no el total transcurrido. Mira solo las cuentas que sí se desactivaron y quédate con la que más se demoró.

La columna ultimo_inicio es del sistema, no de la persona, y es lo más difícil de discutir. Una cuenta que no se desactivó y no se ha usado es un riesgo latente; una cuenta cuyo último inicio de sesión es posterior a la salida de su titular es un riesgo que ya se materializó: alguien la usó cuando su titular ya no estaba. Eso se comunica de inmediato, sin esperar al informe.

La cláusula PCA-6.2 exige la autorización escrita del jefe de TI para cada perfil de administración. La prueba cruza dos fuentes: la lista de quienes son administradores hoy, que sale del sistema, y la de quienes fueron autorizados, que sale del archivo de autorizaciones. Los administradores son pocos, así que no se muestrea: se revisan todos.