Acceso condicional desde el móvil: la decisión en cada inicio de sesión

Un usuario y una contraseña responden a una sola pregunta: ¿sabe esta persona el secreto? El acceso condicional añade las que faltan: ¿desde qué dispositivo?, ¿está conforme?, ¿con qué app?, ¿desde qué lugar?, ¿hay algo raro en este inicio de sesión? Con las respuestas, una política decide entre permitir, limitar (por ejemplo, ver sin descargar) o bloquear, y exigir un factor adicional cuando haga falta.

No sustituye al MDM ni al cifrado del tráfico: se alimenta del MDM (la conformidad del dispositivo es una de sus señales más valiosas) y decide con ella. Por eso un MDM que mide bien y un acceso condicional que no lee ese resultado es una auditoría que no cambia nada.

Abre el laboratorio y lee politicas_acceso y accesos. Cada fila del registro de accesos es la decisión de una política sobre una persona, un dispositivo y una app, con el resultado y el motivo. Auditar un acceso bloqueado empieza por ahí: qué política decidió y por qué, antes de opinar si fue justo.

Ese rastro es lo que permite contestar a la persona que llama a soporte, y también lo que permite al SOC distinguir un bloqueo esperado (un móvil alterado que intenta entrar) de uno que indica un problema de configuración.

Una política de acceso condicional puede estar activa o en «solo informe». En solo informe, el servicio evalúa la política y registra lo que habría hecho, pero no lo aplica: el acceso sigue su curso. Es la forma segura de probar una política antes de activarla, y es también una trampa: una política en solo informe da la sensación de control mientras no controla nada.

Al auditar, la pregunta no es solo si existe una política para una condición, sino en qué estado está. Compara las políticas con los accesos para encontrar uno que debió bloquearse según la letra de la política y se permitió.

El conteo de bloqueos es una métrica de operación: dice cuánta fricción causa la política y, mirado con atención, si está bloqueando lo que debe. Cuatro o cinco bloqueos al día por razones distintas son una cosa; el mismo bloqueo repetido por una misma cuenta es otra: o la persona tiene un problema que resolver, o alguien está probando.

Cuenta los accesos de la tabla con resultado «bloqueado». No incluyas los «limitado», porque dejaron pasar al usuario con restricciones, ni los permitidos aunque una política en solo informe los marcara.

Hay un acceso con resultado «limitado»: una persona entró al correo por el navegador desde un móvil que la empresa no gestiona, y la política le dio una sesión donde puede leer pero no descargar. Es la decisión intermedia que más se malentiende. No es un fallo ni un favor: es el término medio entre bloquear a alguien que trabaja con su propio aparato y darle acceso completo desde un aparato que la empresa no ve.

La razón técnica es simple: lo que se descarga a un aparato no gestionado ya no se puede retirar. Una sesión de solo lectura mantiene el dato en el servicio, que sí está bajo control de la empresa.