No hay documentación que especifique quién puede hacer qué en la empresa, todos los días es un caos — ¿cómo se hace una matriz de permisos?

Ayşe O***hace 4 meses·44 mensajes·5,6 mil visualizaciones#gestión #control de acceso #procedimiento

Cargo: Técnico de control de calidad
Sector: Energía
Tipo de organización: Empresa de 120 empleados
Miembro desde: dic 2023
Mensaje: 126

hace 4 meses#1

El de marketing quiere acceder al informe contable y yo le dije 'no sé, tienes que preguntarle al jefe de IT'. El jefe de IT le pregunta a otro, no hay ningún sistema. Según antigüedad, rol, departamento — hay que configurar accesos distintos para cada uno pero ¿cómo?

¿Quién necesita acceso a la base de datos? ¿Puede haber acceso condicional ('solo reportes', 'solo lectura')? El equipo de ventas puede ver los datos de clientes pero ¿puede borrarlos? ¿IT tendrá acceso total a todos los sistemas? ¿Los managers pueden hacer override?

Al principio parece muy complejo, pero si hay una plantilla de referencia puedo empezar. ¿Basta con listar en Excel o hay que definir los roles en el sistema?

Cem K***Participante

Cargo: Especialista en pruebas
Sector: Servicios de TI
Tipo de organización: cadena de tiendas
Miembro desde: sept 2023
Mensaje: 138

hace 4 mesesMás útil#2

Implementación de Matriz de Permisos (Access Control Matrix): 1) Define recursos (database, file share, app, panel admin), 2) Define roles (CEO, Manager, Empleado, Contratista), 3) Crea matriz de permisos para cada rol (Create, Read, Update, Delete = CRUD), 4) Acceso condicional (conditional access): por tiempo (9-17h), por datos (sus propios clientes), por aprobación (transacciones >X TL requieren approval). Plantilla Excel: Filas = Recursos, Columnas = Roles, Valores = CRUD, Condiciones. Automatización: Role-Based Access Control (RBAC) en el sistema (Active Directory, plataforma IAM). Override: aprobación de manager + audit log. Documentación: documento de política, revisión anual, auditoría de accesos (trimestral). Implementación: Fase 1 (recursos IT), Fase 2 (recursos de datos), Fase 3 (recursos de apps).

Kaan G***ExpertoMiembro de la comunidad

Miembro desde: jun 2023
Mensaje: 94

hace 4 meses#3

si no haces la matriz de permisos es un caos. haz la tabla en excel: a la izquierda departamentos, arriba recursos en medio escribe CRUD... bueno ceo acceso total, ventas solo a sus clientes contabilidad recursos financieros. cuando dices acceso con aprobación se pide al manager...

Hakan A***Participante

Cargo: Líder de equipo de desarrollo
Sector: Catering
Tipo de organización: Empresa de 20 empleados
Miembro desde: oct 2023
Mensaje: 86

hace 4 meses#4

RBAC vs. ABAC: RBAC (role-based) = define rol, asigna permiso, ABAC (attribute-based) = basado en condiciones (departamento, ubicación, hora, sensibilidad de datos). Herramientas: Azure AD (asignación de roles), AWS IAM (políticas), Okta (roles basados en apps). Plantilla de matriz: Rol x Recurso x Acción. Auditoría: reporting de Active Directory, logs de auditoría de Cloud IAM. Delegación: el manager aprueba la solicitud de acceso, IT lo implementa, revocación automática tras la fecha. Segregación de Funciones: control de conflictos sobre quién tendrá qué permiso (la persona de finanzas no puede aprobar pagos).

Aycan U***ParticipanteMiembro de la comunidad

Miembro desde: jul 2023
Mensaje: 2

hace 4 meses#5

la matriz de permisos es simple, empieza en excel pero primera columna departamento siguiente columna permisos. cEO = acceso a todo Ventas = datos de clientes solo lectura, Contabilidad = sus propios informes IT = todo. luego configura los roles en el sistema (Active Directory), y ya está. tienes que hacer revisión anual, si hay transferencias actualiza...

Hakan U***ParticipanteMiembro de la comunidad

Miembro desde: abr 2024
Mensaje: 43

hace 4 meses#6

Estrategia de Control de Acceso: 1) Define roles (CEO Manager, Empleado, Proveedor) 2) Define recursos (DB, file share, app, cloud), 3) Mapea rol → recurso → acción (CRUD), 4) Reglas condicionales (tiempo datos, aprobación), 5) Segregación de Funciones (roles incompatibles), 6) Auditoría y revisión (trimestral), 7) Automatización (plataforma IAM). Cumplimiento: GDPR/KVKK → auditoría de acceso a datos PCI-DSS → acceso restringido a titulares de tarjetas. Least Privilege: acceso mínimo al inicio, solicitud basada en necesidad. Documentación: definiciones de roles, registro de actualizaciones certificación anual.