Respuesta directa
Para cada acción de alto impacto de un agente, registre como identidades separadas al iniciador, al aprobador y al ejecutor. Vincúlelos mediante el identificador de la acción, el destino, el contenido aprobado o su hash, el alcance, el momento, las identidades del agente y de las herramientas, el resultado de ejecución, las pruebas del sistema de destino y el estado anterior y posterior.
En lenguaje claro
En una transferencia bancaria, quien da la orden, quien la aprueba y el sistema que mueve el dinero pueden ser distintos. Una línea que diga «transferencia completada» no muestra quién la solicitó ni qué se aprobó.
Por qué importa
Si las funciones no se separan, puede ser imposible detectar una aprobación retrospectiva, un permiso reutilizado, una falsa atribución humana o una aprobación concedida para un elemento y utilizada para otro.
No confundir
- Inicio: el evento que crea la acción o propuesta.
- Aprobación: permiso para un contenido concreto, un destino concreto y un alcance definido.
- Ejecución: realización técnica de la acción.
- Efecto en el destino: el resultado que ocurrió realmente en el sistema externo.
Qué hacer
- Asigne un action_id único a cada acción.
- Registre al iniciador y las pruebas del inicio.
- Conserve la identidad y la autoridad del aprobador, junto con el destino, el contenido, la duración y el carácter de uso único de la aprobación.
- Vincule las identidades del agente ejecutor, el entorno de ejecución, la herramienta y el principal técnico.
- Exija una nueva aprobación si el contenido, el destino o el importe cambian después de aprobarse.
- Obtenga del sistema de destino pruebas del resultado y del estado anterior y posterior.
- Mantenga los reintentos, la ejecución parcial, la reversión y el fallo en la misma cadena de pruebas.
Cómo auditarlo
- ¿Pueden verificarse las identidades del iniciador, el aprobador y el ejecutor?
- ¿Se aplica la aprobación a la versión exacta que se ejecutó?
- ¿Estaba autorizada para esta acción la persona o política que otorgó la aprobación?
- ¿Se reutilizó la misma aprobación o se aplicó a otro destino?
- ¿Coincide el registro de origen con el resultado del sistema de destino?
- ¿Están completas la cronología y la cadena de actores?
- ¿Podría haberse alterado después el registro?
Límite
Un identificador de traza, una captura o una sola línea de registro no constituyen por sí solos una prueba completa. Conserve suficiente contexto para la auditoría respetando la privacidad y la minimización de datos.
Recuérdalo en una frase
Un registro sólido de agente no solo muestra qué ocurrió, sino quién lo solicitó, quién lo aprobó y quién lo ejecutó.
Fuentes de este registro
- S23Autoridad de Tecnologías de la Información y la Comunicación (BTK), *Firma electrónica — Información general*Autoridad oficial
- S24NIST SP 800-63-4, *Digital Identity Guidelines*Estándar
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Estándar
- S34IETF, RFC 8693, *OAuth 2.0 Token Exchange*Estándar
- S35W3C, *PROV-O: The PROV Ontology*Estándar
- S36W3C, *Trace Context*Estándar
- S37OpenTelemetry, *General Trace Semantic Conventions*Documentación de estándar y proyecto