Terceros conectados y permisos delegados

Un permiso delegado actúa en nombre de quien consiente; uno de aplicación actúa con identidad propia, sin una persona delante. La política dice quién puede consentir según el tipo y el nivel de riesgo, y un consentimiento dado por quien la política no autoriza es un hallazgo aunque la aplicación funcione bien.

Una aplicación conectada que nadie usa sigue teniendo sus permisos. La limpieza empieza por las que llevan más de 90 días sin actividad, contados hasta la fecha de corte, porque un permiso sin uso es riesgo sin beneficio.

La cuenta de un proveedor debe caducar con su contrato. Cuando sigue activa después, cada día adicional es un acceso sin respaldo jurídico, y la medida de su gravedad es el tiempo transcurrido desde el fin del contrato hasta el corte.

Un cuestionario de seguridad es una declaración del proveedor. Una respuesta afirmativa vale lo que valga su evidencia: sin un documento fechado que la respalde, es solo una afirmación y no puede contar como control.

Cuando un proveedor se va, no basta con retirar su cuenta: hay que cerrar todo lo que lo conectaba. Un secreto compartido que no se rota sigue permitiendo la conexión aunque la cuenta ya no exista.