Accesos fuera de rol

Un acceso fuera de rol es el que la descripción del puesto no contempla: una persona de compras abre la base de nómina. El sistema lo permitió, y por eso no hay error que mirar: es un permiso más amplio que el trabajo. Por sí solo no prueba nada, pero es la pregunta que hace la regla: «¿por qué esta persona tocó este recurso?». Compara recursos_por_rol con accesos. Los accesos que no tienen ticket que los explique son los que más preguntas piden. Cuenta, por usuario, los accesos exitosos a recursos fuera de su rol y sin ticket.

Un ticket es lo que convierte un acceso raro en un acceso explicado: alguien cubría las vacaciones de una persona, hacía una tarea asignada, atendía una solicitud. No lo vuelve invisible, pero cambia la pregunta: ya no es «¿por qué?», sino «¿el ticket corresponde con lo que se hizo?». Entre los accesos fuera de rol de accesos, hay uno con ticket.

Ninguna señal sola es suficiente: fuera de rol puede ser una cobertura legítima y fuera de horario puede ser alguien que trabaja tarde. Juntas, y sin explicación, suben de nivel. La jornada de este ejemplo es de 07:00 a 19:00. Cuenta los accesos exitosos que sean a la vez fuera del rol del usuario, sin ticket y fuera de esa jornada.

Antes de escalar a alguien, se confirma lo que se puede confirmar sin invadir a nadie: ¿hay una tarea o un pedido que lo explique? ¿La jefatura de esa persona lo sabe? ¿Qué decía el registro exactamente? Se conserva el registro tal cual y se pregunta a quien corresponda. Una exportación de nómina hecha por una persona de compras justifica la pregunta, no una conclusión.

Una regla que alerta cada vez que alguien cubre a un colega cansa al equipo. Lo que arregla el problema de raíz es el permiso: si una persona de soporte necesita ver nómina durante unos días, el acceso debería salir de un ticket con fecha de fin, y no quedarse abierto para siempre. La regla detecta lo que el modelo de permisos dejó pasar; el modelo de permisos es lo que se corrige.