El punto de decisión y el punto de aplicación

La autorización tiene piezas con nombre propio, que vienen del lenguaje de políticas XACML de OASIS y que la guía de NIST sobre control por atributos usa igual. El punto de decisión (PDP) recibe quién pide, qué acción y sobre qué recurso, y responde permitir o denegar. El punto de aplicación (PEP) es el código que intercepta la petición, pregunta al de decisión y obedece. El punto de información (PIP) le entrega al de decisión los datos que no vienen en la petición, como los contratos o la obra de un residente. El punto de administración (PAP) es donde se escriben y se aprueban las reglas.

Separarlos tiene una ventaja que un auditor valora mucho: las reglas se leen, se prueban y se cambian en un solo lugar. Si cada controlador decide por su cuenta, cada copia de la regla envejece a su ritmo y la aplicación termina con tantas versiones de la política como archivos.

Abre arquitectura-autorizacion.txt y ubica cada pieza.

El equipo asegura que politica.py es la única fuente de las reglas. La forma de comprobarlo es leer los controladores y ver si todos le preguntan, o si alguno trae su propia condición escrita a mano. Un if con roles y cifras dentro de un controlador es una política paralela, aunque hoy coincida con la oficial.

Recorre los controladores de la carpeta y fíjate en cuál no importa nada de politica.

Una política paralela no se queda quieta: cuando cambia la regla oficial, la copia sigue con el valor viejo. Compara la condición de ese controlador con la que aplica politica.py para la misma acción. Hay dos diferencias: una en la cifra y otra en lo que comprueba del residente.

El punto de decisión puede estar centralizado y aun así decidir mal si el punto de información le entrega datos atrasados. Las cachés existen por buenas razones (el sistema de origen es lento o caro), pero cada hora de caché es una hora en la que un contrato terminado sigue contando como vigente. El auditor no pide quitar la caché sin más: pide saber cuánto dura, y que ese tiempo sea una decisión escrita y aceptada por el dueño del riesgo.

Abre atributos.py y mira de dónde saca la política los frentes con contrato.

Tienes que proponer qué hacer con el controlador paralelo para que la regla R3 se aplique igual en toda la plataforma.