Interconexión con terceros: cada socio, su cuenta y su contrato

Un acceso de socio existe porque hay un contrato que lo justifica. Cuando el contrato vence y no se renueva, la razón de ese acceso desaparece, pero la cuenta sigue ahí, con su vía abierta y sus permisos, a menos que alguien la desactive. Por eso el inventario de accesos debe llevar la fecha de contrato al lado de la cuenta y alguien debe contrastarla con la fecha de hoy. Una cuenta de socio con el contrato vencido y actividad reciente es la combinación que más importa: no es un olvido inofensivo, es un acceso que se está usando sin respaldo.

El informe del 7 de octubre de 2026 lista cinco socios con la fecha de su contrato y la de la última vez que se usó su cuenta. Los contratos vigentes se ven por una fecha futura. Un contrato vencido tiene una fecha anterior al informe, y si el último uso es posterior a esa fecha el acceso se usó sin contrato.

Abre el laboratorio y ordena los contratos por fecha de vencimiento.

El principio del mínimo privilegio también se aplica a los socios. Una empresa de mensajería necesita enviar mensajes, no administrarlo todo. Los permisos con nombres como «administrador total» suelen quedar de un arreglo urgente que nadie revirtió. Un permiso excesivo en la cuenta de un tercero es más grave que en una cuenta propia, porque el operador no controla cómo ese socio guarda las credenciales.

El tercer desajuste es la cuenta ociosa: nadie la usa, nadie la echa en falta y por eso nadie notaría que alguien más la usara. Una cuenta de servicio sin uso durante más de noventa días es candidata a desactivarse: si el socio la necesita, lo avisará, y el aviso cuesta menos que una intrusión silenciosa. Para el informe hace falta la cifra exacta, contada hasta la fecha del informe, 7 de octubre de 2026.

Desactivar una cuenta de un tercero tiene un costo operativo, así que se hace con orden. La acción correcta es inhabilitar, no borrar: la cuenta desactivada se puede reactivar si el socio demuestra que el contrato sigue en pie, y su configuración queda como evidencia. Antes o a la vez se avisa al responsable del contrato y al socio. Y el cambio de permisos de una cuenta con permiso excesivo se pide con un plazo, porque puede haber una integración que dependa de él.