Escenario — reducir una cuenta con 400 acciones

La lista de acciones concedidas y el registro de uso están en carpetas distintas y no se parecen en tamaño. Antes de proponer nada hay que saber cuántas de las acciones concedidas se ejercieron de verdad en la ventana. Una misma acción puede aparecer en más de una fila si la usaron varios principales.

No todas las acciones tienen el mismo riesgo. Las del servicio de administración de identidades pueden cambiar lo que el rol u otras identidades pueden hacer, y por eso se revisan primero. El servicio se reconoce por el prefijo de cada acción.

El registro cubre noventa días y no dice nada de lo que corre fuera de ellos. La nota del dueño del rol dice qué trabajo periódico quedó sin aparecer y qué acción necesita. Esa acción está concedida y no figura en el uso: un recorte automático la quitaría.

El dueño del rol dice quién debería asumirlo. Si el registro de uso muestra a alguien más actuando con el rol, es un hallazgo aparte del recorte: un rol de servicio manejado por una persona deja sin responsable claro lo que se haga con él.

La política de cambios fija la ventana de los martes, exige poder revertir en menos de un día, pone un tope de cien acciones por cuenta de servicio y pide dueño y fecha de revisión para lo que se conserva sin uso demostrado. Con lo que has visto, ¿qué propones a la jefatura de seguridad?