¿Cómo debe actualizarse cada registro cuando una función o facultad de firma cambia, termina o es revocada?

En lenguaje claro

Si desactiva el pase del edificio principal de un empleado que se marcha, pero deja activas la llave del almacén, la cuenta de correo y el acceso remoto, la salida no está completa. Cada puerta debe comprobarse por separado.

Por qué importa

Una desvinculación incompleta deja acceso residual, representación no autorizada, información web obsoleta y cuentas sin responsable. El registro central puede parecer actualizado mientras los sistemas reales siguen reconociendo la autoridad anterior.

No confundir

• Terminar una función y cerrar todas las vías de acceso no son el mismo evento.
• Suspensión, revocación y caducidad son estados distintos.
• Cambiar un registro es distinto de aplicar el cambio en el sistema de destino.

Qué hacer

1. Registre el identificador, tipo, momento, motivo y aprobación del cambio.
2. Utilice el inventario para identificar todos los sistemas y superficies de publicación afectados.
3. Cierre primero las vías de acceso de mayor riesgo.
4. Compruebe por separado tokens, claves, sesiones, pertenencias a grupos y delegaciones de agentes.
5. Recopile pruebas de aplicación y lectura de comprobación para cada destino.
6. No borre los registros necesarios para la responsabilidad histórica.

Cómo auditarlo

• ¿Llegó el cambio a todos los destinos?
• ¿Sigue funcionando una sesión o un autenticador antiguo?
• ¿Muestran los registros web y legibles por máquinas la función actual?
• ¿Ha quedado alguna cuenta de servicio o agente sin responsable?
• ¿Está respaldada por pruebas la decisión de cierre?