Servicios· Gobierno y cumplimiento de IA·¿Cómo decidimos mejor?
Taskforce · Sostener
¿Quién firma cada paso de la vida de un agente en su organización?
La herramienta ya trae identidad para agentes. Nadie definió quién firma cada paso.
Los seis pasos de vida de cada agente y cada cuenta de servicio, con un responsable que firma: alta, credencial, alcance, expiración, revocación y bitácora.
Gobierno de Identidad No HumanaEnviar esta página a quien decide
Para usar hoy, sin contratar nada
Seis pasos y una firma en cada uno. Tome sus tres agentes o cuentas de servicio con más privilegio y escriba al lado de cada paso un nombre de persona, no un área:
- Alta. Quién aprueba que el agente exista y para qué.
- Credencial. Quién la emite, dónde se guarda y quién la conoce.
- Alcance. Quién fija qué puede hacer y sobre qué sistemas. Y quién lo revisa cuando cambia.
- Expiración. Cuándo vence si nadie la renueva. Si no vence nunca, ese es el hallazgo.
- Revocación. Quién la corta un domingo y en cuánto tiempo.
- Bitácora. Quién revisa lo que hizo, cada cuánto y con qué criterio.
Su herramienta de identidad ya resuelve buena parte de la detección. Lo que no resuelve es quién firma: los nombres que falten son su hallazgo. Busque primero los agentes que usan la sesión de una persona, porque esos no pasan por ninguno de los seis.
Le suena si
- La plataforma de identidad ya detecta los agentes y la lista crece sin un nombre al lado.
- Auditoría preguntó quién aprobó lo que hizo un agente y la respuesta no estaba escrita.
- Hay asistentes que actúan con la cuenta de un empleado y todo queda a su nombre.
Cómo lo resolvemos
El método, no la promesa.
- Se parte del inventario que ya produce su herramienta de identidad. No se rehace lo que la herramienta ya hace bien.
- Se asigna un responsable con nombre a cada uno de los seis pasos, por tipo de agente y de cuenta, aceptado por escrito.
- Se escriben las reglas de expiración y de revocación. Se prueba una revocación real, con ventana y reversión.
- Se buscan los agentes que actúan con la sesión de una persona y se les diseña identidad propia.
- Se define qué se revisa de la bitácora, quién y cada cuánto, en el formato en que lo pediría un auditor.
Qué recibe
- La matriz de seis pasos con un responsable firmado por tipo de agente y de cuenta.
- Las reglas de expiración y de revocación, probadas con un caso real.
- La lista de agentes que actuaban con la sesión de una persona, con su identidad propia diseñada.
- El formato de revisión de bitácora que pediría un auditor.
La prueba que viene al caso
- Separación de identidades y derechos de acceso sobre una operación de más de 200 000 instancias, validada en diez simulacros antes del corte real.
- La separación de sistemas en una de las ventas bancarias más grandes de Latinoamérica: 100% de los sistemas cortados el día legal, cero fallas y cero hallazgos regulatorios.
- Ocho años bajo supervisión regulatoria, donde una cuenta de servicio sin dueño es un hallazgo.
Antes de contratar
La herramienta la pone su proveedor de identidad y la configura su equipo. Aquí se diseña quién decide y firma en cada paso y se prueba que la revocación funciona.
La herramienta detecta y aplica. Decidir quién responde por cada agente es otra cosa: es lo que hubo que resolver para separar dos bancos sobre doscientas mil instancias, con fecha contractual.
Si hubiera que revocar la credencial de un agente este domingo, ¿quién lo hace y con qué autoridad?
En el ciclo
Si el problema es otro
El agente ya no solo responde: ejecuta. Nadie definió hasta dónde puede llegar solo.
Guardarraíles para Agentes
El regulador pregunta por qué se rechazó ese caso y nadie puede reconstruirlo.
Gobierno de Decisiones Automatizadas
Sé que hay IA en uso y no sé cuál ni con qué información.
Inventario de IA en la Sombra