ENS desde dentro (XVII): Gestión de accesos (op.acc.4) — quién autoriza, quién revisa y por qué

Ya sabes quién es cada usuario, qué permisos tiene y cómo se separan los roles. Pero falta lo más importante: cómo se gestionan esos accesos. Aquí entra op.acc.4.

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, empieza por aquí:
https://www.handersonboratto.com/blog/que-es-ens/

👉 O continúa con el artículo anterior:
https://www.handersonboratto.com/blog/ens-segregacion-funciones-op-acc-3/

Qué pide realmente el ENS

Es muy claro: nadie accede sin autorización, los permisos deben ser mínimos y los accesos deben revisarse. Acceso sin control es acceso fuera de control.

🧭 Paso 1: Todo acceso debe estar autorizado

Esto es básico: no existe acceso sin solicitud ni aprobación. Un ejemplo real es un ticket de acceso aprobado por el responsable del sistema. Sin aprobación, no hay acceso.

🧭 Paso 2: Mínimo privilegio

Esto es clave en el ENS. Cada usuario debe tener solo lo necesario: nada de permisos “por si acaso” ni accesos heredados.

🧭 Paso 3: Necesidad de conocer

No todo el mundo necesita todo. El acceso debe limitarse a la información y las funciones necesarias. Más acceso significa más riesgo.

🧭 Paso 4: Quién puede autorizar

No cualquiera puede dar accesos: solo los responsables del sistema o del activo. Debe existir una lista clara de autorizadores.

🧭 Paso 5: Revisión periódica de accesos

Aquí es donde caen muchas auditorías. Debes revisar los usuarios activos, los permisos asignados y los accesos innecesarios. Un ejemplo real: una revisión anual con un listado enviado a los responsables para validar los accesos. Si no revisas, pierdes el control.

🧭 Paso 6: Control de accesos remotos

Esto es muy importante. Los accesos remotos deben estar autorizados, controlados y no permanecer siempre activos. Por ejemplo: una VPN con acceso bajo demanda, deshabilitada si no se usa. Un acceso remoto siempre abierto es un riesgo.

🧪 Evidencias que sí valen

Esto es lo que te van a pedir.

Buenas evidencias:

• Ticket de solicitud de acceso aprobado
• Listado de usuarios con permisos
• Evidencias de revisión periódica
• Documento de autorizadores
• Control de accesos remotos

Malas evidencias:

• Accesos sin ticket
• Permisos sin justificar
• Revisiones inexistentes
• “Esto siempre ha sido así”

Sin trazabilidad, no cumple.

🧠 Ejemplo real

El auditor revisa los accesos a un sistema y detecta usuarios sin justificación, permisos antiguos y ausencia de revisión. Resultado: no conforme.

Error típico (muy común)

Accesos sin aprobar, exceso de privilegios, no revisar permisos y accesos remotos abiertos. Resultado: riesgo elevado, pérdida de control y fallo en auditoría.

Lo que te van a pedir en auditoría

Quién tiene acceso, quién lo autorizó, por qué lo tiene y cuándo se revisó. Y la pregunta clave: ¿puedes justificar cada acceso?

Conclusión

Dar acceso es fácil; controlarlo es lo difícil. La gestión es la clave. Si lo haces bien, tienes control real. Si lo haces mal, tienes riesgo continuo.

Próximo paso

Seguimos avanzando. En el siguiente artículo: op.acc.6 – Autenticación. Veremos contraseñas, 2FA, VPN y evidencias reales.

👉 Accede a la guía completa del ENS:
https://www.handersonboratto.com/ens-desde-dentro/