Aplicaciones registradas y sus permisos

Una aplicación puede actuar de dos formas. Con permisos delegados actúa en nombre de la persona que ha entrado, y nunca llega más lejos que esa persona. Con permisos de aplicación actúa por su cuenta, sin nadie delante, y su alcance es el que diga el permiso, no el de un usuario.

La segunda forma necesita que un administrador la consienta para toda la organización. Ese consentimiento es un acto administrativo que queda registrado, y es el punto donde un evaluador mira primero: un permiso de aplicación amplio convierte una credencial guardada en un archivo de configuración en una llave que alcanza datos de todo el mundo, sin pasar por ninguna política pensada para personas.

Entre los permisos de aplicación hay una familia que merece lectura inmediata: la que alcanza el contenido de los buzones de toda la organización. No hace falta imaginar nada para explicar su impacto; basta describir qué puede leer quien tenga la credencial de esa aplicación.

Abre el laboratorio y mira el permiso más alto de cada aplicación junto a su tipo.

Una credencial nueva en una aplicación vieja merece una pregunta, sobre todo si la creó una cuenta que no es la propietaria declarada. No se afirma que haya pasado algo: se anota la fecha, se compara con el corte de la evidencia y se pide al cliente que confirme si ese cambio estaba previsto.

Vuelve al laboratorio y ordena las credenciales por su fecha de creación.

El párrafo del informe que resume este apartado necesita una cifra: cuántas aplicaciones del inventario tienen permisos que actúan por su cuenta y fueron consentidos para toda la organización. Es el tamaño de la superficie que no pasa por ninguna política de persona.

Tienes una aplicación de un proveedor externo que puede leer todo el correo, y una credencial reciente creada por una cuenta de la mesa de ayuda. Es tentador unir las dos cosas en una frase. La honestidad del informe se mide justo aquí.