La matriz de permisos como documento vivo

Una matriz de permisos cruza los roles (o los tipos de sujeto) con las acciones y los recursos, y en cada celda dice permitir o denegar, con su condición («de su obra», «hasta 2.000.000») y la regla de negocio de la que sale. Escribir también las celdas de denegar no es redundante: deja constancia de que alguien pensó ese caso y decidió cerrarlo, y le da a la prueba de regresión un caso negativo que comprobar.

La matriz muere cuando se escribe una vez para una auditoría y se guarda en una carpeta. Vive cuando está en el mismo repositorio que la política, tiene un responsable, cambia en el mismo cambio que cambia la regla y se compara de forma automática con lo que el punto de decisión concede de verdad. ASVS 5.0 dedica a la autorización su capítulo V8, y entre sus requisitos está que las reglas de acceso estén documentadas; una documentación que no se contrasta con el sistema no cumple ese propósito.

El primer cruce es de filas: qué roles tiene la política vigente y cuáles la matriz. Un rol que existe en la política y no en la matriz es un grupo de personas cuyos permisos nadie aprobó en el documento oficial.

Compara politica-exportada.txt con matriz-permisos-v3.csv.

El segundo cruce es de celdas: un permiso que la matriz deniega de forma expresa y la política hoy concede. Es el hallazgo más serio de este tipo de revisión, porque la matriz no se olvidó del caso: lo pensó, lo cerró, y después alguien lo abrió sin actualizarla.

Busca en la matriz las filas con denegar y comprueba, una por una, si la política exportada concede ese mismo permiso a ese mismo rol. Después mira en cambios-politica.txt qué cambio lo abrió y quién lo revisó, frente a lo que exige el procedimiento escrito en su encabezado.

El tercer cruce es de columnas: acciones nuevas que la política concede a un rol que sí está en la matriz, pero que la matriz no menciona en ninguna fila, ni para permitir ni para denegar. Para el resto de los roles, esa acción queda sin decisión escrita: hoy se deniega porque nadie la concedió, y mañana nadie sabrá si fue a propósito.

Los tres desvíos tienen un origen común en el historial: cambios de la política que entraron sin una versión nueva de la matriz.