¿Qué son las revisiones de acceso (recertificación) y por qué importan?

El aprovisionamiento recibe mucha atención, pero el acceso tiende a acumularse en silencio con el tiempo. Las revisiones de acceso —también llamadas recertificación o atestación— son el control de gobernanza que pregunta periódicamente: «¿debería esta persona seguir teniendo esto?».

Qué es realmente una revisión

Según un calendario (trimestral para sistemas sensibles, al menos anual en el resto) o disparado por eventos como un traslado, a un propietario responsable se le presenta la lista de quién tiene acceso a un recurso o rol y debe atestiguar sobre cada uno: conservarlo o revocarlo. Luego se aplican las revocaciones. Se mapea directamente a la gestión de cuentas NIST 800-53 AC-2 y es una expectativa de auditoría recurrente (SOX, ISO 27001, SOC 2).

Por qué importa

• Acumulación de privilegios. A medida que las personas cambian de puesto, conservan accesos antiguos y ganan nuevos, acumulando mucho más de lo que su trabajo actual necesita. La automatización del aprovisionamiento gestiona los casos limpios; las revisiones atrapan el residuo y restauran el mínimo privilegio.
• Cuentas huérfanas e inactivas. Contratistas, cuentas de servicio y personas trasladadas cuyo acceso nunca se limpió afloran aquí.
• Segregación de funciones. Las revisiones pueden señalar combinaciones tóxicas (p. ej. alguien que puede crear y aprobar un pago a la vez).

El modo de fallo: aprobar sin mirar

El control vale tanto como el escrutinio que lo respalda. El fallo clásico es el revisor que pulsa «aprobar todo» sin pensar, lo que produce evidencia de cumplimiento pero seguridad nula. Mitigaciones:

• Enrutar al revisor correcto: el responsable o el dueño del recurso que conoce de verdad el puesto de la persona, no un TI genérico.
• Dar contexto: mostrar fechas de último uso, indicadores de riesgo/privilegio y qué concede cada derecho.
• Hacer de la eliminación la opción por defecto para accesos no usados o no reconocidos, y conciliar con RR. HH. para el personal que se ha ido.

Lo que buscan los entrevistadores: defines la recertificación como una atestación del propietario que impulsa la revocación, la vinculas con la acumulación de privilegios / cuentas huérfanas / segregación de funciones, y nombras aprobar sin mirar como la debilidad central con correcciones concretas.