Acceso condicional: qué cubre y qué deja fuera

El acceso condicional actúa después de que alguien ha demostrado quién es: no sustituye a la autenticación, la condiciona. Si varias políticas alcanzan a la misma entrada, todas tienen que cumplirse, y una de bloqueo detiene el proceso. Si ninguna la alcanza, la entrada sigue adelante sin más preguntas.

De ahí salen dos lecturas que un evaluador hace siempre. La primera: una política en modo de observación se lista igual que las demás y no impide nada; sirve para medir el impacto antes de aplicarla, y es un hallazgo cuando lleva meses ahí. La segunda: una política dirigida a cuentas de persona no alcanza a las identidades que usan las aplicaciones para actuar por su cuenta, que se gobiernan con políticas propias.

Los protocolos de autenticación antiguos son el camino por el que todavía entra lo que no pasa por un segundo factor: clientes viejos que solo saben mandar usuario y contraseña. Casi toda organización tiene una política escrita para cerrarlos. Lo que un evaluador comprueba no es que exista, sino en qué estado está.

Abre el laboratorio y mira la columna de estado junto a la condición de cada política.

Una exclusión se crea en una tarde y vive años. El daño no está en la exclusión en sí, sino en quién quedó dentro de ella: si el grupo excluido acabó conteniendo una cuenta con rol de administración, la política más importante del inquilino no la alcanza y nadie lo nota, porque la política sigue apareciendo como aplicada.

Vuelve al laboratorio y cruza quién es administrador con qué política le exige un segundo factor.

Las cuentas de emergencia se excluyen a propósito y con su propio control alrededor: no son el hallazgo. El hallazgo es el resto. La cifra que va al informe es cuántas cuentas quedan fuera de las políticas que exigen segundo factor sin ser cuentas de emergencia.

Dos hallazgos de la misma sala, y hay que ordenarlos. El criterio no es cuál suena peor, sino cuál reduce más riesgo con menos trabajo, y a cuántas cuentas alcanza cada uno.