En cualquier organización grande hay más puertas abiertas que personas. La del correo, la del ERP, la del sistema de facturación, la de la herramienta que un equipo contrató para un proyecto y nadie dio de baja. Las puertas se acumulan solas con cada aplicación nueva, cada incorporación y cada proveedor al que se da paso. Abrirlas casi nunca es el problema. El problema es que cerrarlas no tiene dueño.
Por eso el ciclo de vida del acceso es el área donde más se repiten los hallazgos ejercicio tras ejercicio. No pide inversión, pide orden. Y el orden cabe en cuatro reglas que el auditor puede probar una a una.
- Cada persona, su cuenta. Si varias personas comparten un usuario, nadie responde de lo que se hace con él y la traza no reconstruye quién hizo qué. Las cuentas genéricas que sobreviven son un hallazgo con nombre y apellidos.
- Doble factor donde duele. El correo, el acceso remoto y todo lo que se abre desde fuera de la red piden algo más que una contraseña. La prueba no es la política, es la cobertura real sobre el censo de usuarios.
- La baja se ejecuta el mismo día. Cuando alguien sale, sus accesos se cierran ese día, no cuando alguien se acuerda. La cuenta de un antiguo empleado que sigue activa es la puerta más evitable que existe.
- Saber quién tiene la llave maestra. Las cuentas con privilegios deberían poder contarse, tener propietario y revisarse con una frecuencia escrita.
La pregunta no es técnica. Quién puede entrar hoy, y quién lo comprueba cuando alguien se va.
Las pruebas que dejan evidencia
Las cuatro reglas se enuncian en una página. Lo que convence a un comité es la evidencia de que se cumplen.
- Cruce de altas y bajas contra recursos humanos. Toma las bajas del periodo y comprueba la fecha de revocación en cada sistema crítico. La diferencia entre las dos fechas es la métrica, no el sí o el no.
- Población completa, no muestra cómoda. El censo de usuarios sale del directorio corporativo, no de la lista que envía cada responsable. Si las dos no cuadran, esa diferencia ya es el hallazgo.
- Recertificación con decisión trazable. Quién revisó, qué decidió y qué pasó después. Una campaña cerrada al cien por cien en la que nadie retiró un solo permiso merece una segunda mirada.
- Cuentas de servicio y de proveedor. Suelen quedar fuera del alcance y son las que más tiempo llevan abiertas. Pide propietario, fecha de última rotación y justificación de los privilegios.
Ninguna de esas pruebas es difícil. Son laboriosas, que es distinto, y por eso se dejan para el final del ciclo o se resuelven con una muestra pequeña. Ahí es donde el trabajo se vuelve revisable de verdad, cuando la población entera se cruza entre sistemas y cada excepción queda con su fuente, como en lo que van a auditar los equipos este ciclo.
Un control de accesos que funciona no se demuestra con una política firmada. Se demuestra con la fecha en la que se cerró la última baja y con el nombre de quien la comprobó.
