Lo importante no es Juan Pérez, sino jperez
Una de las frases más típicas para convencer a alguien de que se le dará un buen servicio es la promesa de que «no será un simple número de cliente» o algo por el estilo.
Lo siento; pero en el caso de los sistemas de información, las cosas no funcionan así. Para que las cosas sucedan óptimamente, cada empleado de la empresa ante los ojos de los sistemas no es sino ‘una cuenta’.
Aclaro: al decir «los ojos de los sistemas» no me refiero al área de Sistemas, sino a los recursos informáticos en sí. (Sí, ya sé que ni los aparatos ni los programas tienen ojos, pero la verdad es que no se me ocurrió mejor manera de ilustrar mi idea).
En fin; decía yo que los sistemas no conocen empleados, sino cuentas. Tal vez el encargado del almacén se llame ‘Juan Pérez’; pero para el sistema administrativo se tratará de ‘jperez’, ‘almacen1’, ‘jp2745’ o algo por el estilo. Dicha cuenta deberá ser creada cuando Juan se integre a la empresa, y habrán de incluirle todos los privilegios y restricciones que le correspondan a su definición de puesto.
Esta distinción entre la persona (Juan Pérez) y la cuenta (jperez) suena obvia y trivial, pero no lo es tanto.
Nuestro amigo Juan, encargado de almacén, tiene derechos para consultar existencias de productos, ingresar altas, bajas y cambios, programar entregas, etcétera; y, obviamente, hay un sinfín de cosas que no debe hacer. A jperez, en consecuencia, el área de Sistemas le asignó los privilegios para hacer en el sistema precisamente las actividades corresponden, ni más ni menos.
¿Qué consecuencias tiene esto?
La configuración de una cuenta define puntualmente lo que el usuario puede o no hacer. Un privilegio faltante es un problema, pues obstaculiza que la persona haga su trabajo; pero eso normalmente se resuelve pronto, pues el propio empleado se encargará de hacerlo notar. El problema es cuando se otorgan privilegios de más o restricciones de menos: una configuración excedida es mucho más difícil de ser detectada –el empleado no tiene incentivos para reportarla– y debe, sin excepción alguna, ser considerada como una inseguridad del sistema.
Pensemos que, por error, el personal de Sistemas le otorga a jperez privilegios para ver la nómina de la empresa. Eso sería una afectación a la confidencialidad, y las consecuencias podrían ser odiosas; pero si la omisión va en el sentido de que pueda borrar registros contables o enviar archivos de ventas por correo, la cosa se vuelve de verdadero riesgo.
Y aquí volvemos a nuestro tema inicial: la diferencia entre el empleado y su cuenta.
¿La Dirección le daría a Juan Pérez permiso para, digamos, ver la nómina de la empresa? ¡Jamás! Pero esa no es más que la expresión de una preferencia, y en los hechos no le amarra las manos a nadie; lo que sí es determinante es la forma en que el Departamento de Sistemas haya configurado la cuenta jperez.
En otras palabras: una cosa es lo que se supone que Juan puede hacer, y otra muy distinta es lo que jperez en los hechos puede hacer.
Por eso digo que el área de Sistemas no tiene que pensar en personas, sino en cuentas. Y, en consecuencia, es importantísimo que el manejo de las cuentas -creación, asignación de privilegios, baja…- se lleve de manera ordenada y rigurosa.
La próxima vez abordaré algunos aspectos claves para mantener el asunto bajo control.
(© esdrújula.net, 29/nov/2010)
* Consultor y analista en TI y telecomunicaciones. felipe@esdrujula.net
Consultor y analista de las industrias de TI y telecomunicaciones. Fue editor del periódico NET@ de redes y telecoms, y ha colaborado en diversas publicaciones de la industria. Ha sido encargado y asesor de sistemas en empresas mexicanas, y participó en la coordinación de un proyecto de desarrollo de software para el sector salud. Actualmente colabora en el proyecto esdrujula.net, orientado a la generación de contenidos digitales. Desde 1998 forma parte del Consejo Consultivo de ExpoComm / B3 Forum México
