Cuentas de proveedores y su caducidad

Una cuenta de un tercero necesita dos cosas que una de empleado ya trae de fábrica: una fecha en la que deja de valer y una persona de la empresa que responda por ella. Un empleado tiene recursos humanos que avisa de su salida; un proveedor no tiene a nadie. Si no hay patrocinador, nadie notará que el trabajo terminó.

Abre cuentas-proveedores.csv. La columna de patrocinador dice quién de Altomira responde por cada cuenta. El valor «ninguno» no es un detalle de formato: es una cuenta con acceso que nadie reclamará como suya.

El directorio no sabe de contratos: solo el cruce con el archivo de contratos revela que una cuenta sigue viva más allá de la relación que la justificaba. Cruza el proveedor de cada cuenta con la fecha de fin de contrato y compárala con el último inicio de sesión.

El informe de un hallazgo así debe decir cuánto tiempo estuvo abierto el acceso sin respaldo contractual. Cuenta los días entre el fin del contrato y el último inicio de sesión de esa cuenta. No digas que fue un acceso malicioso: lo que el dato prueba es que ocurrió fuera de contrato, y qué se hizo en esa sesión es otra pregunta que se contesta con los registros.

En AWS, un proveedor puede asumir un rol de la cuenta del cliente. La documentación de AWS recomienda, cuando el rol lo asume un tercero, exigir un identificador externo en la condición de la confianza: evita que otro cliente de ese mismo proveedor engañe al proveedor para usar el rol de Altomira (el problema del «suplente confundido»). Compara las dos confianzas exportadas.