Poblaciones y niveles de confianza

En una empresa casi todos los equipos son de la organización, se gestionan y se pueden exigir. En un campus la mayoría de los equipos son personales, la apertura es parte de la misión académica y los usuarios cambian cada semestre. Eso no significa renunciar al control: significa que el nivel de confianza se asigna a la población (qué tan gestionados están sus equipos y cómo se identifican), y de él se deriva a qué puede llegar cada zona.

Un mismo edificio puede alojar poblaciones distintas, y una misma población puede estar en varios edificios. Segmentar por edificio mezcla niveles de confianza; segmentar por población los separa.

La tabla poblaciones dice cuántas personas hay, qué proporción de sus equipos están gestionados, cómo se identifican, qué confianza se les asignó y en qué zona están. Los residentes se cuentan aparte de los estudiantes.

Una población con muchas personas y pocos equipos gestionados es la que más pesa en el riesgo y la que menos se puede exigir. Contar cuánta gente cae en cada nivel dice dónde se concentra la exposición.

Los flujos entre zonas se derivan del nivel de confianza: una zona de confianza baja llega solo a lo que necesita (el portal académico, internet) y no a los sistemas internos. Un flujo que contradiga la tabla de poblaciones es un hallazgo.

Consulta flujos y filtra por el origen de la zona de estudiantes.

Dar confianza baja a una población no la castiga: define qué controles compensan lo que no se puede exigir. Para estudiantes, por ejemplo, los equipos no se gestionan, así que la protección se pone en la red (zona propia, destinos limitados, registro) y no en el equipo.

Cámaras, controles de acceso, pantallas y sensores no tienen usuario que escriba una clave: se identifican por su dirección MAC, que se puede copiar. Por eso su zona es propia y sus destinos son muy pocos, aunque el equipo sea de la universidad.