Identidad de socios y revocación

Hay dos maneras de dar acceso a los empleados de un socio. La primera es crearles una cuenta local en el portal: la empresa controla la cuenta, pero no se entera cuando el empleado deja el socio. La segunda es la federación: el socio autentica a su gente con su propio sistema de identidad y la empresa confía en esa autenticación. Con la federación, cuando el socio da de baja a una persona, el acceso a la empresa cae solo; con las cuentas locales, alguien tiene que acordarse de borrarla.

Las cuentas de servicio (un programa que se conecta a otro) son distintas: no tienen una persona detrás, no pueden responder a un segundo factor y su credencial vive en un archivo o en un almacén de secretos. Por eso se limitan con permisos mínimos, se rotan con calendario y, sobre todo, se anotan con un dueño dentro de la empresa y otro dentro del socio.

El segundo factor es lo que separa una contraseña filtrada de un acceso real. Pedirlo a todas las personas sería lo ideal; si solo se puede priorizar, se empieza por las cuentas con permiso de escritura, porque alguien que escribe puede alterar un envío, un estado o una dirección. Las cuentas de servicio quedan fuera de este filtro por una razón técnica (no pueden responder a un segundo factor) y se protegen de otra manera.

Abre SELECT * FROM cuentas_socios y filtra las cuentas de personas con escritura y sin segundo factor.

La tabla trae la fecha en que termina el contrato de cada socio. Cuando esa fecha pasa, todas las cuentas del socio deberían quedar desactivadas ese día. Lo que se ve con frecuencia es que las personas se desactivan (porque alguien las recuerda) y las cuentas de servicio se quedan, porque no tienen un nombre propio que alguien reconozca. Un acceso posterior al fin del contrato, además, ya no es un riesgo hipotético: la cuenta se usó.

El tiempo entre el fin del contrato y el último acceso es la medida de la exposición: cuánto duró un acceso sin base contractual. Para el cálculo cuenta los días de calendario entre las dos fechas de la cuenta que encontraste. La tabla no dice qué hizo la cuenta en ese acceso; esa pregunta se contesta con los registros de la aplicación, que no están en este informe.

Revocar no es borrar. En una baja de socio se desactivan las cuentas de personas, se rotan o se retiran las credenciales de las cuentas de servicio (y se confirma con el socio que sus sistemas ya no las usan), se cierran las sesiones abiertas y se conserva el registro de lo que esas cuentas hicieron, porque es lo que permite investigar si algo salió mal. El borrado de las cuentas y de sus registros se decide después, con el plazo de conservación que la empresa tenga fijado.