Antes de actuar
Identificar a la persona y la organización, verificar el rol y delimitar qué información y acciones están disponibles.
Identidad y permisosCatalisa / GobernanzaLa confianza tiene
La confianza tiene
estructura.
Quién puede actuar. Qué necesita revisión. Cómo entender lo que ha ocurrido. La gobernanza conecta estas respuestas con la operación.
Explora las responsabilidades ↓Más claridad para actuar.
Más contexto para responder.
Más contexto para responder.
La base ofrece mecanismos.
La operación marca la dirección.
La gobernanza está presente en el diseño de cada recorrido: en los accesos, en las reglas, en la revisión y en los registros que ayudan a reconstruir el trabajo.
La plataforma conecta estas capacidades. Cada organización define su política, configura los controles y valida si se ajustan al contexto en el que va a operar.
Antes, durante y despuésUna acción necesita
Una acción necesita
tener sentido
en cada momento.
Cuando la acción requiere revisión
Definir qué necesita a otra persona, en qué etapa y con qué autoridad. El diseño de la aprobación forma parte del recorrido.
Política de accesoDespués de que ocurra
Relacionar la acción con los registros disponibles, el cambio realizado y la regla que orientó el resultado.
Historial y evidenciasDos personas. Responsabilidades distintas.Un pedido no tiene por qué
Un pedido no tiene por qué
ser la aprobación en sí.
Prueba la separación entre
quién solicita y quién revisa.
Una lectura del principio de los cuatro ojosPrepara.
Prepara.
Compruébalo.
Decida.
IAM documenta una política de revisión por una segunda persona para los cambios de acceso sensibles cubiertos por este control.
Cuando la política de la organización está activada, el cambio genera una solicitud. La revisión corresponde a otra persona autorizada de la misma organización.
Este es un ejemplo local e ilustrativo. No modifica permisos. El alcance real depende de la política activada y de las acciones cubiertas en IAM.
Consulta el alcance documentadoEJEMPLO / CAMBIO DE ACCESO SENSIBLESolicitud aún no creada
Asignar un rol
de acceso sensible.
Una persona lo solicita. Otra persona autorizada lo revisa, dentro de la misma organización.
SolicitantePrepara la solicitud
RevisorComprueba y decide
Empieza por la persona A y prepara la solicitud.
Cuando llega la pregunta: ¿qué ocurrió?El historial necesita
El historial necesita
ayudar a contar la historia.
Un cambio cobra contexto cuando es posible relacionar quién actuó, qué cambió y qué referencia se utilizó.
LECTURA ILUSTRATIVA / SIN DATOS REALESUn cambio.
Un cambio.
Más de una
pregunta.
Los registros proceden de las capacidades responsables. El ejemplo organiza las preguntas que una investigación necesita responder.
Persona, sistema y organización
El contexto de identidad acompaña la acción según el mecanismo utilizado.
Recurso y modificación
El historial puede mostrar el estado anterior y el resultante.
Referencia y versión
Una evaluación puede vincularse a la versión de la política que se publicó.
Eventos efectivamente registrados
La trazabilidad depende de los eventos que publica cada capacidad. Hay que verificar la cobertura.
Audit Trail está en Beta. Que se declare una retención no implica eliminación automática; la configuración, la recogida y los procedimientos operativos deben estar activos. La integridad verificable del registro tiene limitaciones documentadas.
Consulte la cobertura y los límitesLa gobernanza acompaña
el tipo de trabajo.
Una visión de los accesosPersonas, roles
Personas, roles
y los estados necesitan
ser comprensibles.
Una interfaz ayuda al equipo a comprobar quién participa en la operación y en qué condición. El permiso sigue aplicándolo la capacidad responsable.
Interfaz de referencia de la guía Banking: prototipo con datos de ejemplo. La pantalla no demuestra la disponibilidad de todos los flujos presentados.
Explora la Plataforma bancariaConsola / Personas y accesoAmpliar ↗
Capacidades detrás de los controlesCada mecanismo tiene
Cada mecanismo tiene
un rol y una fase.
Explora el propósito de la capacidad
y consulta los límites antes de integrar.
IAMProducción↗API KeysProducción↗Decision EngineProducción↗Audit TrailBeta↗BiometríaAlpha↗Feature FlagsProducción↗
Identidad y acceso
Reconocer a la persona, la organización y los permisos asociados a la acción.
Acceso entre sistemas
Delimitar qué puede consultar o realizar una integración.
Reglas con referencia
Identificar la versión de la política utilizada en una evaluación.
Historial de cambios
Consultar los eventos publicados, con contexto sobre lo que ha cambiado.
Verificación de identidad
Asociar la evaluación y sus evidencias a la sesión de verificación.
Cambio por etapas
Controlar la exposición de una función según la configuración del producto.
Para evaluar con claridadLa confianza también
La confianza también
es conocer el alcance.
¿Tener una traza significa registrarlo todo?
No. El registro de auditoría depende de los eventos publicados por las capacidades. Comprueba qué acciones están cubiertas, si la recopilación está habilitada y qué registros están disponibles en tu composición.
¿El principio de los cuatro ojos se aplica a cualquier acción?
El mecanismo documentado en IAM cubre los cambios de acceso sensible previstos por la política, cuando está activada. La aprobación de pagos, documentos u otras acciones requiere un diseño y una validación propios.
¿Puede un agente usarlo todo porque recibió una instrucción?
Las instrucciones orientan el comportamiento. El acceso a las herramientas y a las acciones requiere controles propios, configurados según el rol y el contexto en el que participa el agente.
¿Definir un plazo de conservación ya elimina los registros?
No. La documentación de Audit Trail distingue la política declarada de la ejecución del procedimiento de eliminación. La operación tiene que configurar y supervisar ese proceso, teniendo en cuenta los límites documentados.
¿Estos mecanismos garantizan el cumplimiento por sí solos?
Ofrecen recursos para el diseño de controles. La política, la configuración, la cobertura, la operación y la evaluación de suficiencia dependen del contexto de la organización. No equivalen a una certificación automática.
¿Por dónde empezar la evaluación?
Elige un recorrido. Identifica quién actúa, qué información utiliza, qué acciones requieren revisión y qué registros deben estar disponibles. Contrasta esa necesidad con la fase y los límites de las capacidades elegidas.
Autonomía que va de la mano de la responsabilidadConstruye el siguiente paso.