Segmentación de índices por permisos

Hay dos formas de segmentar. Una es separar físicamente: un índice por nivel de confidencialidad o por cliente, y la cuenta que consulta solo tiene acceso a los índices que le tocan. Otra es mantener un índice compartido y filtrar por un metadato (cliente, grupo) en cada búsqueda. La separación física es más fuerte, porque un error de filtro no puede traer lo que no está en el índice; el filtro por metadato es más flexible y barato, pero depende de que cada documento esté bien etiquetado y de que la búsqueda siempre lo aplique.

La regla práctica es combinar: lo más sensible (contratos, honorarios, datos personales) va en índices separados con acceso restringido; lo demás, en índices compartidos con filtro por etiqueta, y los dos niveles se auditan por separado.

Un índice segmentado por metadato solo protege si los documentos tienen el metadato. Un índice sin etiquetas y con acceso para todos reúne las dos condiciones del peor caso: no se puede filtrar porque no hay por qué, y cualquiera lo consulta. La columna con_etiqueta_de_cliente del inventario, comparada con documentos y con quien_puede_consultar, lo delata.

Abre inventario-de-indices.csv y localiza el índice que no tiene ningún documento etiquetado y que pueden consultar todos los empleados. Lee la nota de la migración para entender de dónde viene.

El índice de proyectos sí está segmentado por grupo, pero la cifra de documentos etiquetados no coincide con el total. Cada documento sin etiqueta es un documento que el filtro por cliente no puede tratar: según cómo esté escrito el filtro, queda visible para todos o invisible para todos. Saber cuántos son es el primer paso para decidir qué se hace con ellos.

Calcula, con el inventario, cuántos documentos de idx-proyectos no tienen etiqueta de cliente.

La segmentación de índices se hace efectiva con cuentas. Si el servicio de recuperación consulta todos los índices con una sola cuenta de servicio, el acceso por índice deja de significar nada: cualquier persona que llegue al asistente consulta con la cuenta más poderosa y la protección vuelve a depender del filtro. Lo que se busca es que la consulta se haga con una identidad reducida al alcance del usuario, o que cada nivel de sensibilidad tenga su propia cuenta de servicio con su propio alcance.

Lee acceso-a-indices.txt y localiza la cuenta del servicio de recuperación que lee los cuatro índices, incluido el de contratos y honorarios.

El archivo antiguo se volcó completo en un índice abierto porque no tenía etiquetas, y la nota de migración deja la asignación de grupos como pendiente sin fecha. Mientras no se etiquete, el contenido mezcla informes de varios clientes en un índice que todos consultan. Dejarlo así «hasta que haya tiempo» es aceptar la fuga como estado normal; borrarlo no es una decisión del auditor, porque son documentos de la empresa.

La decisión de diseño es cerrar el acceso mientras se etiqueta: restringir el índice a un grupo de custodia, volver a abrirlo solo por lotes ya etiquetados y dejar fecha y responsable escritos.