El servicio que no puede confiar en quien lo llama

La misma plataforma de trámites del organismo público, un año después y con un dato que cambia todo: tres de los servicios que corren adentro los operan proveedores externos. Distintas empresas, distintas cadenas de despliegue, la misma red.

En noviembre se comprometió la cadena de despliegue de uno de ellos. Durante nueve días, código firmado por ese proveedor corrió dentro de la red del organismo con las mismas credenciales de red que el resto del sistema. No hubo intrusión perimetral. No hacía falta: ya estaba adentro.

El contrato de los proveedores les prohíbe leer expedientes con datos de salud, y hay 210.000. Esa prohibición hoy se controla leyendo registros después. Un control que se comprueba después del hecho no es control de acceso: es una auditoría con un mes de retraso.

Acá “adentro” dejó de ser un límite de confianza. Es sólo un rango de direcciones donde conviven servicios de cuatro organizaciones distintas.

El equipo de plataforma se opone al cambio con números concretos: cada llamada interna que tenga que volver a comprobar identidad agrega una consulta más, y hay trámites que encadenan cinco llamadas. Además pierden lo que más querían: un solo lugar donde cortar un acceso. Ahora una revocación depende de que se entere cada componente que pregunta.

Los dos tienen razón. La pregunta no es quién gana: es qué riesgo pesa más en este contexto.

El equipo tiene 6 unidades operativas y hoy usa 5.

Rearmá el sistema para que ningún servicio atienda una llamada sólo porque viene de adentro, sin dejar de comprobar también en la entrada.