Recomendaciones de reducción de permisos y su riesgo

El informe sugiere qué quitar a partir de lo que no se usó en la ventana. Eso es una inferencia: si un permiso no aparece en los registros, probablemente no se necesita. «Probablemente» deja espacio a los usos poco frecuentes, a los registros incompletos y a los sistemas que se ejecutan una vez al mes.

Por eso toda recomendación se evalúa con tres preguntas: qué sistema depende de esa identidad, cuándo se usó por última vez lo que se quitaría y qué pasa si el cambio resulta equivocado. Con esas respuestas se calcula un riesgo de romper y se decide el orden.

ls reduccion
cat reduccion/recomendaciones.csv

La columna del último uso de lo que se quitaría es la más importante de la tabla. Un «nunca» es lo que se espera de un permiso sobrante. Una fecha cercana es una advertencia: alguien o algo lo usó, y quitarlo puede detener un proceso.

La política de la oficina de TI dice, además, que un permiso usado en los últimos 14 días no se retira sin hablar antes con el dueño del sistema. Busca la recomendación que quitaría un permiso usado el 2026-10-02.

cat reduccion/calendario-de-cambios.txt

Hay cambios que casi no pueden romper nada: permisos que nunca se usaron, en identidades sin ningún sistema que dependa de ellas. Son las victorias rápidas, y su suma da una idea del recorte inmediato que el equipo puede lograr sin esperar permisos de nadie más.

Suma los permisos que quitarían las recomendaciones cuyo riesgo de romper es bajo.

cat reduccion/recomendaciones.csv

Un cambio puede ser correcto y estar fuera de fecha. Una congelación de cambios protege la campaña de fin de año: en ella solo se aprueban emergencias. Una recomendación propuesta dentro de la congelación se reprograma, aunque su riesgo sea medio o bajo, porque cualquier fallo caería en la semana en que más vende la empresa.

Compara las fechas propuestas con la ventana de congelación del calendario y, de paso, con el cierre mensual de ventas.

Cuando una reducción es de riesgo alto, el objetivo cambia: ya no es hacerla rápido, sino hacerla de forma que se pueda deshacer. Se redacta el plan de reversión antes de tocar nada, se avisa al dueño del sistema, se elige una ventana de bajo uso, se quita por partes y se vigilan los errores de acceso denegado inmediatamente después. Si el sistema se detiene, el permiso se devuelve y se averigua qué se había pasado por alto.