Gobierno

Integrando el sistema de RRHH como fuente autoritativa, de modo que cada cambio de puesto o baja dispara automáticamente el recálculo de permisos y la revocación de los accesos que ya no correspondan, en lugar de depender de que cada aplicación o departamento actúe por su cuenta. Complementarlo con certificaciones periódicas de acceso permite detectar y cerrar los accesos "fantasma" que hayan quedado antes de que los encuentre una auditoría.

El certificado digital debe tratarse como un atributo más del ciclo de vida de la identidad del empleado: se emite, renueva y revoca en sincronía con su situación laboral, con alertas automáticas antes de la caducidad y desactivación inmediata al causar baja. Esto evita dos de los riesgos más habituales, certificados compartidos entre varias personas y renovaciones olvidadas que bloquean trámites críticos, y aporta la trazabilidad de uso que hoy falta en muchos organismos.

Mediante conectores que añaden una capa de identidad y control de acceso por encima de esas aplicaciones sectoriales, sin tocar su lógica interna: las altas, bajas y cambios de rol se sincronizan hacia ellas automáticamente. Las raíces de código abierto de plataformas como Soffid facilitan además desarrollar conectores a medida para aplicaciones muy específicas de un organismo, sin depender de que el fabricante original lo resuelva.

Consolidando en un repositorio único los registros de acceso de todos los sistemas del organismo, de forma que generar un informe de "quién accedió a qué y cuándo" sea una consulta y no un ejercicio de cruzar logs dispersos a mano. Esa trazabilidad centralizada es precisamente lo que se revisa con más frecuencia en las auditorías de organismos públicos.

Cada tipo de vínculo laboral debe modelarse con su propio ciclo de vida y una fecha de expiración por defecto, en lugar de tratarse igual que el personal fijo. Someter estos accesos "provisionales" a revisión periódica obligatoria evita que se conviertan, de facto, en permanentes sin que nadie vuelva a evaluarlos.

Una plataforma de identidad que actúe como capa común por encima de las aplicaciones de cada área (urbanismo, tributos, padrón, RRHH) permite federar el inicio de sesión y sincronizar automáticamente altas, bajas y roles hacia todas ellas, sin necesidad de esperar a que cada proveedor sectorial resuelva el problema por su cuenta. Es un enfoque habitual en implantaciones apoyadas por integradores con experiencia en administración pública, como Wipro, EY, Fujitsu o Inetum.

El nivel se determina mediante un análisis de impacto sobre las cinco dimensiones de seguridad que define el Real Decreto 311/2022 (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad), tomando como categoría final la más alta obtenida en cualquiera de ellas para la información y los servicios tratados. Ese análisis debe quedar documentado en la Declaración de Aplicabilidad, y condiciona directamente las medidas exigidas: por ejemplo, el doble factor de autenticación es obligatorio en nivel alto y el control reforzado de accesos privilegiados se exige ya desde nivel medio.