Mapa de terceros con acceso

Un tercero con acceso es cualquier organización de fuera que tiene una cuenta, una clave, una conexión o un permiso dentro de tus sistemas: soporte remoto, contabilidad, logística, quien sube archivos, quien vigila el aire acondicionado. La lista de contratos de compras es un buen punto de partida, pero no es el mapa: hay accesos que sobreviven al contrato, contratos sin acceso y accesos que nadie recuerda haber dado.

Por eso el mapa se arma desde los sistemas (cuentas, claves, conexiones) y después se cruza con compras y contratos. Lo que aparece en un lado y no en el otro es justo lo que interesa.

Una cuenta de tercero que lleva mucho tiempo sin usarse y sigue activa es una puerta abierta sin nadie vigilándola: si alguien la consigue, no hay un uso habitual contra el cual notar la diferencia. El umbral de revisión que se usa aquí es un año sin uso.

La tabla de terceros trae el estado de cada cuenta y la fecha de su último uso.

Un acceso permanente está abierto todo el tiempo; uno bajo demanda solo se habilita cuando alguien lo pide. Un segundo factor protege al primero, pero no siempre existe: una clave SSH de una máquina no tiene a nadie que apruebe nada, y por eso en el inventario figura como «no aplica». Esa fila no se cuenta como una falta, porque el control es otro (rotación y restricción de origen).

El riesgo alto es el de personas con un acceso siempre abierto y sin segundo factor. Se cuentan solo los que cumplen las dos cosas y tienen un «no» expreso.

El tiempo sin uso se mide en días contra la fecha del caso, no contra «hace mucho». Un número da una cifra que se puede poner en un informe y volver a calcular; una frase imprecisa, no.

Hoy es el lunes 6 de septiembre de 2027. Se cuentan los días completos entre el último uso de la cuenta que encontraste en la tarea 2 y esa fecha.

No se puede revisar todo a la vez, y el orden importa. El valor del contrato y su antigüedad están en el área de compras, pero no dicen qué puede hacer el tercero dentro de la red. Lo que ordena una revisión es lo que el acceso permite (privilegio), cómo se protege (segundo factor, origen) y desde dónde se llega a él.

La tabla de terceros trae el privilegio de cada cuenta, y la de contratos, su valor anual: son dos órdenes distintos.