Qué resolvemos ·¿Cómo arreglo la forma en que decidimos?
Taskforce · Sostener
¿Quién responde por lo que hacen sus cuentas de servicio y sus agentes?
Tenemos cuentas de servicio con privilegios y nadie sabe quién responde por ellas.
El inventario de todo lo que no es una persona y tiene acceso, con dueño nombrado, derechos documentados y su regla de rotación y revocación.
Gobierno de Identidad No HumanaEnviar esta página a quien decide
Para usar hoy, sin contratar nada
Cómo empezar el inventario sin ayuda y en qué orden. Cuatro cortes que se corren con lo que ya tiene y que en una tarde le dan la foto que le falta.
- Liste lo que no es una persona y puede entrar. Cuentas de servicio, integraciones, robots, agentes, llaves de interfaz. Empiece por el directorio y siga por lo que cada plataforma tenga por su cuenta, que es donde aparecen las sorpresas.
- Marque las que tienen privilegios altos. Son la minoría y son todo el riesgo. Ordene por ahí y olvídese del resto en la primera pasada.
- Al lado de cada una, escriba un nombre de persona. No un área: una persona. Las que se quedan sin nombre son su hallazgo y suelen ser entre el treinta y el cincuenta por ciento.
- Busque la fecha del último cambio de credencial. Si pasa de dos años, esa credencial la conoce gente que ya no trabaja ahí.
Hágase esta antes de desplegar el primer agente. ¿Quién va a ser el dueño de su credencial y quién puede revocarla un domingo? Si no hay respuesta, el agente todavía no debería estar en producción.
Le suena si
- Va a desplegar agentes y el modelo de credenciales y de revocación está por definirse.
- Auditoría preguntó por cuentas de servicio y la lista no existe.
- Se fue alguien que era dueño informal de varias integraciones.
Cómo lo resolvemos
El método, no la promesa.
- Se descubre desde los directorios y desde cada plataforma, no desde entrevistas. Lo que se descubre solo preguntando aparece incompleto.
- Se determinan los derechos reales de cada credencial, que no son los declarados.
- Se asigna dueño nombrado, uno por credencial y se acepta por escrito. Esta es la parte que vale.
- Se diseña el ciclo de vida completo: alta, rotación, revisión y revocación, incluido qué pasa cuando el dueño cambia de puesto.
- Se prioriza la remediación por privilegio y exposición, con ventana y reversión escritas.
Qué recibe
- El inventario de credenciales no humanas con sus derechos reales.
- La matriz de dueños nombrados y aceptados por escrito.
- El ciclo de vida definido: alta, rotación, revisión y revocación.
- El plan de remediación priorizado, con ventana y criterio de reversión.
La prueba que viene al caso
- Separación de identidades y derechos de acceso sobre una operación de más de 200 000 instancias, validada en diez simulacros antes del corte real.
- La separación de sistemas en una de las ventas bancarias más grandes de Latinoamérica: 100% de los sistemas cortados el día legal, cero fallas y cero hallazgos regulatorios.
- Ocho años bajo supervisión regulatoria, donde una cuenta de servicio sin dueño es un hallazgo.
Antes de contratar
Se entrega el inventario y el plan; la revocación la ejecuta su equipo con ventana y reversión, porque quitar un derecho heredado rompe cosas que nadie sabía que dependían de él.
Esto no es un tema nuevo disfrazado: es lo que hubo que resolver para separar dos bancos que hasta ayer eran uno, sobre doscientas mil instancias y con fecha contractual. Los agentes de IA solo hicieron que el mismo problema crezca más rápido.
¿Cuántas de sus cuentas de servicio con privilegios altos tienen hoy el nombre de una persona al lado?
Si el problema es otro
El agente ya no solo responde: ejecuta. Nadie definió hasta dónde puede llegar solo.
Guardarraíles para Agentes
El regulador pregunta por qué se rechazó ese caso y nadie puede reconstruirlo.
Gobierno de Decisiones Automatizadas
Sé que hay IA en uso y no sé cuál ni con qué información.
Inventario de IA en la Sombra