Puesto
Gestión de accesos
¿Cuántas veces por semana concedéis accesos «los mismos que tiene Pérez»? Cada petición así copia permisos que nadie ha revisado en años.
Conversación inicial
Cuatro preguntas por las que empezaríamos
¿Cuántas veces por semana concedéis accesos tomando como modelo a otro empleado?
Si es a menudo, los permisos crecen por copia y no por decisión.
¿Quién se da cuenta primero de que la cuenta de alguien que se fue sigue funcionando?
Si no se da cuenta nadie hasta que alguien entra, tenéis cuentas sin dueño en todos los sistemas.
¿Cuánto tarda una petición de acceso?
Si son dos días, un empleado nuevo no trabaja durante dos días, y su responsable pide permisos más amplios de lo necesario para evitar una segunda petición.
¿Qué pasa cuando alguien cambia de puesto dentro de la empresa?
Si los permisos antiguos se retiran, o se quedan por si acaso.
Nos quedamos con la gestión de las peticiones, vosotros con la decisión sobre los permisos
Recibir peticiones, conceder accesos desde plantillas, las revisiones de permisos y la gestión de salidas se pueden quitar del escritorio. La decisión sobre quién debe ver qué se queda con el responsable y el dueño del sistema.
- Una petición va a quien tiene que decidir. - No a un administrador como primer eslabón, sino al responsable y al dueño del sistema, y solo después a ejecutarse.
- Un puesto tiene una plantilla de permisos. - Un empleado nuevo recibe el conjunto asignado a su puesto, en lugar de una copia de los permisos del compañero de la mesa de al lado.
- Irse y cambiar de puesto son sucesos. - El acceso caduca con el fin de la relación laboral, no cuando alguien se acuerda.
Alcance
Qué se puede quitar de la gestión de accesos
Diecinueve tareas de ejemplo. Cada una tiene un punto de aprobación humana. Abajo una selección, y el alcance lo ajustamos al número y al tipo de vuestros sistemas.
Peticiones de acceso
- Una sola vía de petición con la motivación exigida
- Encaminar al responsable y al dueño del sistema (decisión: el responsable)
- Señalar los permisos que van más allá de la plantilla del puesto
- Estado de la petición visible para quien la planteó
- Un registro de concesiones con la fecha, la persona y la base
Cuentas y permisos
- Plantillas de permisos asignadas a puestos
- Señalar las cuentas con permisos fuera de la plantilla
- Una señal sobre una cuenta sin uso durante más de lo acordado
- Detectar las cuentas sin dueño asignado
Puestos de trabajo y equipos
- Un registro de equipos asignados a personas
- Una lista de preparación del puesto para una persona nueva
- Una señal sobre equipo no devuelto tras una salida
Revisiones de permisos
- Un calendario de revisión por sistema
- Permisos expuestos para que el responsable los confirme (confirmación: el responsable)
- Señalar los permisos no confirmados en la última revisión
- Un registro de los cambios derivados de una revisión
Salidas
- Enlazar el fin de la relación laboral con la retirada de accesos
- La lista de sistemas en los que la persona tenía cuenta
- Confirmación de que el acceso está cerrado (confirmación: el administrador)
Un día de trabajo
Hoy
- Las peticiones llegan por correo y por chat, sin motivación
- Concedéis accesos tomando como modelo a otro empleado, porque es más rápido
- No sabéis quién tiene permisos más amplios de los que implica su puesto
- Cerráis las cuentas de quienes se van cuando alguien lo menciona
- Aplazáis las revisiones de permisos, porque supondrían llamar a los responsables
- En una auditoría de accesos montáis el resumen durante una semana
Con asistencia de IA
- Una petición tiene una sola vía, una motivación y llega a quien decide
- Un empleado nuevo recibe la plantilla de permisos de su puesto
- Los permisos fuera de la plantilla se señalan
- El fin de la relación laboral trae consigo la retirada de accesos
- La revisión de permisos envía a los responsables resúmenes preparados
- El resumen para una auditoría sale del registro de permisos y no de una ronda por los sistemas
- Tiempo para atender una petición
un empleado nuevo trabaja desde el primer día
la petición va directa a quien decide, no por una cola
- Orden en los permisos
menos accesos concedidos por copia
un puesto tiene plantilla de permisos
- El riesgo de las cuentas de quienes se van
menos cuentas activas sin dueño
irse trae consigo la retirada de accesos
- Preparados para una auditoría de accesos
el resumen está disponible en lugar de montarse
el registro de concesiones se construye sobre la marcha
Empezamos por las peticiones, porque son el mayor volumen y donde más se copia.
- Paso 1
Una sola vía de petición con quien decide
La motivación, el encaminamiento al responsable y al dueño del sistema, un registro de concesiones.
- Paso 2
Plantillas de permisos por puesto
Un conjunto asignado a un puesto en lugar de una copia de un compañero.
- Paso 3
Salidas y cambios de puesto
Enlace con los sucesos de recursos humanos y la lista de sistemas que cerrar.
- Paso 4
Revisiones de permisos
Resúmenes para que los responsables confirmen. Al final, porque requiere las plantillas ordenadas.
Preguntas frecuentes
Preguntas que surgen en la primera reunión
¿En qué se diferencia esto de un administrador de sistemas?
El administrador mantiene las cosas en marcha: servidores, copias de seguridad, actualizaciones, rendimiento. Aquí el asunto es únicamente quién tiene acceso a qué. En empresas pequeñas lo hace la misma persona y de ahí viene la confusión, pero son dos tipos de trabajo y dos tipos de riesgo distintos.
¿En qué se diferencia esto de la seguridad informática?
Allí el asunto son las vulnerabilidades, los incidentes y las amenazas de fuera. Aquí son los accesos, las cuentas y los puestos de trabajo. Las áreas se cruzan en los permisos excesivos, pero el trabajo del día tiene un aspecto completamente distinto.
¿Hará falta menos gente para gestionar accesos?
Las peticiones de acceso son trabajo que no necesita un administrador: necesita la decisión de un responsable y una ejecución. Asumirlo no elimina un puesto, deja de consumir a alguien que debería estar haciendo otra cosa. Las revisiones de permisos que hoy no hace nadie pasan a ser viables siquiera, y esa suele ser la ganancia principal.
¿Esto entra en el ámbito del Reglamento de IA?
La gestión de accesos no es un uso de alto riesgo. La línea está en los datos de inicio de sesión y de actividad de las cuentas: sirven a la seguridad y al orden en los permisos, y usarlos para evaluar la jornada o la productividad sería vigilancia de la plantilla y exigiría una base legal aparte.
¿Os queda alguna pregunta que no esté aquí? Reservad una llamada
Siguiente paso
¿Cuántas cuentas activas pertenecen a personas que ya no trabajan con vosotros?
Os enseñaremos cómo es la gestión de accesos cuando una petición va a quien decide y la salida de un empleado cierra las cuentas sola.