Distribución de responsabilidades y niveles de acceso

1) Objetivos y principios

• eliminar el control exclusivo de las operaciones críticas (dinero/PII/cumplimiento),
• reducir el riesgo de fraude/error,
• garantizar la verificabilidad para los reguladores y las auditorías internas.

Principios: Confianza Cero· Privilegio Least· Need-to-Know· SoD (4-eyes)· Traceability· Revocabilidad (revisión rápida).

2) Clasificación de datos y niveles de acceso

3) Modelo de derechos: RBAC + ABAC

RBAC: roles por dominio (Support, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: atributos contextuales (entorno, geografía, clase de datos, dispositivo/MDM, tiempo, nivel KYC, objetivo de acceso 'purpose', riesgo del dispositivo).

Ejemplo de condiciones ABAC: un analista de BI sólo puede leer 'events _' sin PII, sólo desde la red corporativa/MDM, en la semana 08: 00-21: 00, si hay una formación activa sobre privacidad.

4) SoD - matriz de funciones incompatibles

5) Niveles y tipos de acceso

Read-only/Masked Read: predeterminado para BI/Support.
Scoped Write: cambios dentro del servicio/reglamento (por ejemplo, introducir notas de caso).
Administrador privilegiado: sólo a través de PAM (caja fuerte de contraseñas, proxy de sesión, grabación de sesión, rotación de secretos).
Cuentas de API/servicio: Scops mínimos, claves individuales por integración, mTLS.

6) JIT и break-glass

JIT (Just-in-Time): aumentos temporales de derechos (15-120 min) para un ticket específico, revocación automática, 'purpose' obligatorio.
Break-glass: acceso de emergencia con MFA + segunda confirmación, grabación de sesión, Security + DPO post-rugido, creación automática de incidentes en caso de irregularidades.

7) Procesos (SOP)

7. 1 Solicitud/cambio de acceso (IDM/ITSM)

1. Solicitud con 'purpose', plazo y titular de los datos.
2. Verificación automática de SoD/clase de datos/jurisdicción.
3. Aprobación del propietario del dominio + Security (para Restricted +).
4. Emisión de JIT/acceso permanente (scop mínimo).
5. Inscripción en el registro de derechos (fecha de revisión, SLA de revocación).

7. 2 Re-certificación de derechos

Trimestralmente, los propietarios confirman los derechos de los grupos/usuarios.
Cancelación automática de derechos no utilizados (> 30/60 días).

7. 3 Exportar datos

Sólo a través de vitrinas/paipelines aprobados; enmascaramiento predeterminado listas blancas de destinatarios/formatos; firma/hash; Registro de descargas.

8) Control de vendedores/socios

Tenantes B2B individuales, APIs mínimas, IP allow-list, ventanas de tiempo.
DPA/SLA: registros de acceso, tiempos de almacenamiento, geografía, incidentes, subprocesadores.
Offboarding: revocación de claves, confirmación de eliminación, acto de cierre.

9) Integración con seguridad y cumplimiento

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: alertas para volúmenes/accesos anómalos sin 'purpose '/salida por ventana/geo.
GDPR/AML/PCI: Need-to-Know, compatibilidad DSAR, segregación perimetral de pago, WORM para registros.

10) Políticas de ejemplo (fragmentos)

10. 1 Política de gestor VIP

Visualización enmascarada del perfil, prohibición de exportaciones, JIT en la visualización unitaria de KYC a través del ticket.

10. 2 Política para el analista de marketing

Sólo unidades sin PII; acceso con consentimiento (bandera CMP), desde el dispositivo MDM, durante las horas de trabajo.

10. 3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) Métricas y KRIs/KPIs

Cobertura ABAC: ≥ el 95% de los conjuntos críticos bajo reglas de atributos.
JIT-rate: ≥ el 80% de los aumentos de derechos van como JIT.
Offboarding TTR: retirada del acceso ≤ 15 minutos desde el despido/desactivación.
Accesos anormales sin 'purpose': = 0 (KRI).
Quarterly recertification: 100% de roles/grupos confirmados.
Solución de exportación: 100% de las exportaciones están firmadas/cerradas.

13) Hojas de cheques

13. 1 Antes de emitir el acceso

• Definido por 'purpose', fecha límite, propietario de los datos
• Verificación de SoD/jurisdicciones/clases de datos
• Escopio mínimo + enmascaramiento habilitado
• MFA/MDM/condiciones de red cumplidas
• Se han configurado los registros y la fecha de revisión

13. 2 Auditoría trimestral

• Conciliar grupos/roles con la estructura orgánica
• Revocar derechos no utilizados
• Comprobar break-glass y grandes exportaciones
• Confirmar formación (privacidad/seguridad)

14) Escenarios y medidas modelo

A) El ingeniero necesita acceso temporal al prod-BD

JIT 30-60 min, sesión grabada a través de PAM, post-rugido, CAPA en infracciones.

B) Un nuevo afiliado pide la descarga de jugadores

Sólo agregados/anonimización; si PII es un contrato, una base legal, una lista blanca de campos, una revista/firma, un plazo de referencia limitado.

C) El administrador VIP quiere ver los documentos KYC

Prohibición del acceso directo; solicitud a través de AML/KYC, emisión unitaria a través de JIT, registro completo de campos.

15) Hoja de ruta para la implementación

Semanas 1-2: inventario de sistemas/datos, clasificación, matriz RBAC básica, tabla SoD primaria.
Semanas 3-4: implementación de ABAC (miércoles/geo/clase/MDM), JIT y break-glass, lanzamiento de PAM, registros de exportación.
Mes 2: segmentación CUS/perímetro de pago, claves separadas/KMS, alerta SOAR para infracciones SoD/ABAC.
Mes 3 +: re-certificaciones trimestrales, extensión de atributos (riesgo del dispositivo/tiempo), automatización del enmascaramiento, ejercicios regulares de tabletop.

TL; DR

Modelo de acceso fiable = clasificación de datos → RBAC + ABAC → SoD con 4 eyes → JIT/PAM y auditorías rigurosas → re-certificación regular y control de exportaciones. Esto reduce la probabilidad de abuso y acelera el paso de auditorías/auditorías regulatorias.