Las identidades que nadie dio de baja

Una persona que deja la empresa tiene que dejar también sus accesos, y eso rara vez ocurre solo. Se detecta cruzando tres cosas: la lista de bajas, cómo entra el usuario (contraseña de consola, claves, segundo factor) y qué puede hacer una vez dentro.

Un usuario con contraseña de consola, sin segundo factor y con permisos de administrador es el caso en que más pesa un olvido.

La política de confianza de un rol dice quién puede asumirlo. Si nombra a otra cuenta de AWS sin ninguna condición, cualquier identidad de esa cuenta con permiso para asumir roles puede entrar. Que el contrato de esa consultora terminó en diciembre no cierra la puerta: la política sigue diciendo lo mismo.

El último uso de una clave dice si la identidad sigue viva y desde cuándo hay actividad que no encaja con la persona. La baja de recursos humanos pone la fecha de partida; el informe de credenciales, la del último uso.

Calcula los días enteros entre la baja de esa persona y el último uso de su clave de acceso.

En Azure las asignaciones heredadas y las de invitados externos son las que más se olvidan: no dependen de la plantilla de personal y nadie las revisa porque nadie las ve. La columna de fin de la asignación y el último inicio de sesión cuentan la historia.

El acceso condicional decide en qué condiciones se deja entrar. Una política puede estar creada, bien escrita y con el control correcto, y aun así no exigir nada, según el estado en que esté. Lee el de la política de segundo factor para administradores.