Políticas de organización y barandillas

Las barandillas se clasifican por cuándo actúan. Las preventivas impiden la acción: una política de organización que niega crear recursos fuera de las regiones aprobadas o dejar un almacenamiento público. Las detectivas observan y avisan: una regla de postura que marca los usuarios sin segundo factor. Las correctivas arreglan solas lo que encuentran: una regla que vuelve a cerrar un acceso público.

Cada tipo tiene un costo. La preventiva es la más fuerte y también la que más puede frenar trabajo legítimo si está mal calibrada; la detectiva no frena nada, pero depende de que alguien actúe sobre el aviso. Un programa sano usa las tres, y pone la preventiva donde el error es siempre un error.

En AWS Organizations, las políticas de control de servicios (SCP) se adjuntan a la raíz, a una unidad organizativa o a una cuenta, y todo lo que está por debajo las hereda. Una SCP no concede permisos: fija el máximo que puede hacerse en las cuentas miembro. Además, no afecta a la cuenta de administración de la organización. Azure con Azure Policy y Google Cloud con sus políticas de organización siguen la misma idea de herencia por jerarquía.

Esto significa que una barandilla vale lo que valga su alcance: una cuenta colgada de una unidad sin políticas está fuera de todas ellas. Lee la jerarquía y mira qué cuentas miembro heredan qué.

Una barandilla detectiva que dispara el mismo hallazgo mes tras mes está funcionando como un termómetro: informa, pero no cura. Cuando un hallazgo se repite durante muchos meses seguidos, la pregunta no es «quién lo arregla» sino «por qué sigue siendo posible crearlo».

Cruza los meses de recurrencia con el modo de cada barandilla y encuentra la que más tiempo lleva avisando sin que el problema desaparezca.

No todo hallazgo recurrente se puede pasar a preventivo: algunos dependen de una decisión de negocio. Pero la lista de lo que sigue en auditoría después de tres meses o más es el candidato natural a revisar. Contarlo da la dimensión del trabajo y es la cifra con la que se pide un cambio.

Cuenta los hallazgos con tres meses seguidos o más cuya barandilla asociada es solo detectiva.

La política de límite de regiones del laboratorio niega todo fuera de tres regiones y deja pasar los servicios globales de identidad y de la organización. Está bien escrita. Pero alguien propone «con esto la organización queda cubierta». Hay que decir qué no cubre una política de este tipo.