Escenario — la renuncia de un administrador con acceso amplio

La línea base de los últimos 90 días dice qué recursos usaba con regularidad. Lo que aparece fuera de esa lista no es culpable por sí solo, pero es lo primero que merece una pregunta. Hay recursos que la cuenta empezó a tocar después de la renuncia. Cruza linea_base_90d con accesos_30d.

No todo lo que salió es del mismo peso. Los datos de clientes pesan por lo que implican: obligaciones frente a las personas afectadas y frente a la ley. Con recursos sabes cuáles contienen datos de clientes y con accesos_30d a dónde fueron. Suma los MB de esos recursos que salieron hacia un destino externo.

Cuando una persona que administra se va, lo que solo ella respondía se queda sin dueño. Una cuenta de servicio con un único responsable es un riesgo de continuidad y de seguridad: nadie más sabe para qué sirve ni quién la usa. Busca en cuentas la cuenta de servicio cuyo único responsable es la persona que se va.

Los registros ya mostraron lo que hacía falta para actuar con cuidado. Ahora importa el orden: lo primero es no perder lo que hay y no decidir lo que no le toca a Seguridad. Se documenta lo observado, se preserva una copia de los registros y se lleva el hallazgo a Recursos Humanos y Legal, que deciden las medidas con la persona y las comunicaciones externas. Confrontar a la persona o cortar el acceso por cuenta propia puede perjudicar el caso y a la propia persona.

El informe cuenta lo que los registros muestran y se detiene donde ellos se detienen. Muestra copias de datos de clientes a un destino externo después de la renuncia y que el gestor no tiene autorización registrada. No muestra para qué eran, si alguien las pidió por otro canal ni si la persona obró de mala fe; eso lo establece una investigación con las áreas que tienen esa función.