¿Cuándo fue la última vez que alguien en su empresa perdió un acceso?
Conceder es rutina. Revocar casi nunca ocurre, y ahí es donde se acumula el riesgo.
No son seis problemas aislados. Es una reacción en cadena.
Una causa raíz: el acceso se concede y nunca se reevalúa. Aislados, los síntomas parecen inofensivos. Juntos, forman la superficie de fraude.
Sin política
Concesión sin regla escrita ni responsable.
El perfil se infla
Cada movimiento suma accesos.
Surge el conflicto
Combinaciones incompatibles de SoD.
Puerta abierta
Un offboarding fallido mantiene el acceso vivo.
Nadie revisa
La certificación no ocurre.
Excepción sin alarma
El abuso pasa desapercibido.
La pérdida crece en silencio. Es una curva, no un evento.
Acceso concedido
El conflicto nace con el acceso. No hay alarma para la acumulación de funciones.
El perfil acumula
Los movimientos suman permisos; la revisión no ocurre.
Explotación viable
Registrar, aprobar y pagar con el mismo usuario: fraude posible y silencioso.
Pérdida consolidada
Tiempo mediano hasta la detección. Desvío, litigio, multa y reputación.
5% de los ingresos anuales perdidos por fraude · 32% por fallas de control · multa LGPD de hasta R$ 50M. Fuentes: ACFE, Report to the Nations 2024 · Ley 13.709/2018, Art. 52.
Tres frentes. Del conflicto al proceso que lo genera.
Los tres, de punta a punta, en hasta 6 semanas por sistema en alcance.
Diagnóstico de SoD
- Matriz SoD con reglas de incompatibilidad
- Conflictos reales a nivel de usuario
- Clasificación impacto × probabilidad
- Controles compensatorios
Optimización de perfiles
- Role mining sobre el uso efectivo
- Perfiles redundantes, huérfanos y superpuestos
- Modelo mínimo por función
- Conflicto eliminado en el origen
Revisión del proceso IAM
- Ciclo de vida: joiner, mover, leaver
- Concesión, aprobación, revisión, revocación
- Gobernanza, roles e indicadores
- Roadmap de automatización
Lo que suele aparecer.
La primera visión objetiva del riesgo real
Decenas de conflictos críticos de SoD, cientos de usuarios expuestos y meses de acceso huérfano activo.
Superficie reducida a la mitad
Sin matriz SoD formal y más del 60% de los perfiles con superposición; −50% de permisos tras la optimización.
El acceso como variable de precio
Deficiencias de acceso cuantificadas con costo de remediación, insumo directo para la negociación.
Valores en orden de magnitud, patrón recurrente observado por el equipo, no medición de un cliente específico.
Cada artefacto convierte un punto ciego en una decisión posible.
| Entregable | Antes | Después |
|---|---|---|
| Matriz SoD | Reglas de conflicto en la cabeza de pocos | Incompatibilidades formalizadas por sistema |
| Inventario de conflictos | "Debe haber algún conflicto por ahí" | Lista nominal con evidencia de origen |
| Mapa de riesgo | Todo hallazgo parece igualmente urgente | Priorizado por impacto × probabilidad |
| Modelo objetivo de perfiles | Los perfiles crecen sin diseño | Catálogo mínimo por función de negocio |
| Diagnóstico de IAM | Proceso de acceso no documentado | Ciclo de vida mapeado + roadmap de automatización |
| Plan de tratamiento | Hallazgos sin orden de acción | Secuencia con quick wins y responsables |
Madurez AS-IS vs. benchmark, ejemplo ilustrativo del entregable.
Cada tecnología y cuándo usarla.
Access Control
Para establecer la regla: quién puede hacer qué, y bajo qué criterio.
AM · CIAM · MFA
Para controlar quién entra, empleados y clientes.
IGA · IDM · SOD Intelligence
Para demostrar quién tiene qué, por qué, y sustentar auditorías. Aquí es donde actúa NLC | SOD Intelligence.
PAM · ITDR
Para proteger cuentas críticas y vigilar el acceso en vivo.
De la foto trimestral a la alerta continua.
Diagnóstico
Proceso IAM, ITGC/ITAC, matriz SoD y conflictos.
Saneamiento
Conflictos tratados y perfiles optimizados.
Estructuración
Mapa de perfiles y matriz SAT aprobados.
Automatización
Aprovisionamiento dentro de las reglas SoD.
Monitoreo en vivo
Agentes de IA vigilando el acceso en tiempo real.
NLC|SOD Intelligence
Motor en grafo, agentes de IA especializados y cobertura del 100% de la base: el diagnóstico se convierte en monitoreo continuo.
¿Quién accede a qué, con qué justificación, desde cuándo?
Si la respuesta no es inmediata y verificable, el riesgo ya existe. Ahí comienza la conversación.