Exportaciones y soporte con acceso delegado

El acceso delegado es cuando un empleado de la plataforma actúa dentro de la cuenta de un cliente para ayudarle: ve lo que el cliente ve, a veces con más permisos. Es útil y es riesgoso, porque salta la barrera de aislamiento que el resto del sistema se esfuerza en mantener. Para que sea aceptable, se piden cuatro cosas: que lo pida un ticket concreto, que el cliente lo apruebe, que dure poco y que quede en un registro que el propio cliente pueda leer.

Abre SELECT * FROM reglas y lee lo que la empresa de este ejemplo se exige a sí misma.

Una exportación produce un archivo con muchos datos del inquilino, y la forma de entregarlo importa tanto como la exportación misma. Un enlace que cualquiera puede abrir sin iniciar sesión funciona como una llave que alguien dejó pegada a la puerta: quien lo vea, aunque sea un correo reenviado, descarga el archivo. Por eso las reglas fijan una vigencia corta y exigen sesión del inquilino.

Abre SELECT * FROM exportaciones. Hay enlaces largos con sesión (permitidos mientras no pasen la vigencia máxima) y uno que no cumple.

En el registro de accesos de soporte, la columna «aprobado_por_cliente» es la prueba de que alguien con autoridad sobre esos datos dijo que sí. Un acceso sin aprobación puede tener una explicación (una urgencia, un error de registro), pero hasta que se explique es un acceso fuera de regla, y se abre un caso de privacidad que pide la explicación; no es una sanción.

Abre SELECT * FROM accesos_soporte. No te fijes en los accesos largos que sí fueron aprobados: aquí la pregunta es por la aprobación.

La duración de un acceso acota lo que pudo verse: no demuestra que se vio algo ni qué, pero fija el tiempo durante el cual el agente estuvo en la cuenta de otro. Es el dato con el que se redacta la notificación a los clientes afectados y el que se contrasta con los registros de actividad de esas cuentas para ver qué pantallas se abrieron.

Suma los minutos de los accesos de soporte que el cliente no aprobó.

Un enlace que ya salió no se puede recoger: lo que se puede hacer es dejarlo sin efecto. Se revoca el enlace, se revisa el registro de descargas para saber si se abrió y desde dónde, se avisa al inquilino y se corrige el diseño para que la exportación no pueda crear un enlace público ni con una vigencia superior a la permitida. Sin la revisión de descargas no se puede decir si hubo exposición real.