Registros de inicio de sesión que delatan el abuso

Un registro de inicios de sesión dice que una credencial válida se presentó y fue aceptada. No dice quién la tecleó, ni si quien la usó tenía derecho a hacerlo. Por eso el evaluador no concluye desde la fila: concluye desde el cruce de la fila con tres cosas que deben estar declaradas antes de leer nada —la ventana de la evidencia, el horario que la organización considera normal y la lista de pruebas programadas.

Sin ese marco, «entró de madrugada» es una opinión. Con él, es una desviación medible respecto de lo que la propia empresa declaró como normal, que es lo único que se sostiene en una reunión.

Una cuenta de emergencia que entra fuera de una prueba programada es, por definición, un evento que merece explicación: o hubo una emergencia que nadie registró, o alguien la usó sin motivo. Para afirmarlo hay que apoyarse en lo que la tabla de la ventana declara como horario normal y en las fechas de las pruebas registradas.

Abre el laboratorio y cruza las horas y procedencias con esas reglas.

En el mismo registro conviven las entradas de personas y las de aplicaciones que actúan solas. Estas últimas no tienen horario, no tienen dispositivo y no pasan por las políticas pensadas para personas. Distinguirlas no es un detalle de lectura: decide qué control puede alcanzarlas y qué se puede escribir sobre ellas.

Vuelve al laboratorio y mira qué cliente usó cada entrada y desde dónde llegó.

La cifra de este apartado no es cuántas entradas hubo, sino cuántas atravesaron la ventana sin que ninguna política las revisara. Ese número mide el hueco real entre lo que el inquilino tiene escrito y lo que de verdad se aplica.

Tienes dos entradas de la misma cuenta, de madrugada, desde fuera de la sede y con un cliente de correo antiguo, y en la sala anterior viste una política escrita para cerrar precisamente ese camino. Falta decir cómo se escriben juntas.