Control

El escalón que decide quién puede hacer qué, antes de que pase: qué pide, qué da y dónde termina.

Control es la capacidad de otorgar y de negar: que cada persona, cada vehículo y cada proveedor pueda hacer exactamente lo que le corresponde y nada más, porque eso se decidió antes y no se decide en la puerta.

Conviene decir primero de qué control se habla, porque la palabra nombra tres cosas y sólo una es ésta. En la norma de edificios nombra el gobierno de las instalaciones técnicas, del que el clima es una parte; en la vidriera del rubro, la pantalla que junta todos los sistemas, que acá es el peldaño siguiente. Acá control quiere decir autorización: quién puede entrar, adónde, cuándo y con qué credencial.

Las tres acepciones tienen nombre y número, y conviene decirlos para que se puedan ir a mirar. La automatización del edificio está normalizada en la familia ISO 16484 — Building automation and control systems. La pantalla que junta todo no tiene norma: es una manera de mostrar. La de esta página sí la tiene, y es la IEC 60839-11-1, Electronic access control systems. No se elige acá la acepción más cómoda: es la única de las tres con norma propia.

Lo que define al escalón es cuándo se toma la decisión. Sin este peldaño resuelto se decide en la puerta y en el momento, caso por caso. Con el peldaño resuelto se decidió antes, cuando alguien escribió qué grupo puede estar en qué sector y en qué horario, y el sistema se limita a ejecutarlo. No automatiza la puerta: automatiza el cumplimiento de una decisión ya tomada.

DÓNDE CAE EN EL TIEMPO

Ninguno de los otros peldaños otorga ni niega. Éste habla antes del hecho, y su respuesta es un sí o un no.

Donde no hubo hecho, el peldaño que registra hechos no tiene nada que anotar. Y sin embargo hubo una decisión. Eso no lo hace ningún otro.

Pide el escalón de abajo apoyado, como orden de inversión y no como compuerta. El fundamento de ese pedido, sin embargo, no es el que salta primero. No es que sin registro la decisión sea una declaración: este escalón produce el suyo —la IEC 60839-11-1 incluye en su alcance los requisitos de registro, y NIST SP 800-53 pide en PE-3 mantener los registros de auditoría de los accesos físicos—, así que un predio con lectores y sin una sola cámara igual deja traza de cada decisión. Lo que esa traza no contesta es lo que pasó después: si entró alguien pegado al autorizado, si el que presentó la credencial era su dueño. El permiso es verificable; el uso del permiso, no. Por eso el registro que produce Seguridad va antes: es lo que le pone cuerpo a esta decisión.

Y pide una decisión que no es técnica y no tiene dueño natural: quién tiene permiso de qué. Alguien de la casa tiene que escribir qué grupos hay —propios, contratistas, transportistas, visitas—, qué puede cada uno y en qué franja. No lo puede traer un proveedor, porque no es información suya, y es lo primero que se descubre cuando el equipo ya está comprado.

Pide, sobre todo, que alguien mantenga esa decisión cuando cambia la gente. Un control no se rompe: se afloja. Entra un turno nuevo, se va un contratista, y cada movimiento deja atrás una credencial que sigue diciendo que sí. Un permiso de más no da ningún síntoma: el sistema no avisa cuando autoriza a quien ya no corresponde, avisa cuando niega.

El permiso que sobra no se manifiesta solo, y por eso lo que lo encuentra no puede ser un aviso: tiene que ser una búsqueda. No hay norma que pida que el sistema avise por su cuenta — NIST SP 800-53 lo pide como revisión periódica del padrón, no como alarma: su control PE-2 exige mantener la lista de autorizados, emitir la credencial, dar de baja al que ya no la necesita y revisarla con una frecuencia que define la propia organización.

De ahí el reparto, con nombre y no con área: una persona dueña del padrón; la baja de la credencial dentro del mismo trámite que la baja de la persona —si es aparte, no se hace—; quién autoriza una excepción, y que quede escrita como tal; y una revisión del padrón con fecha en el calendario, no cuando alguien se acuerde. Con los que no son de la casa el mecanismo tampoco puede ser acordarse: la misma norma le exige al proveedor externo avisar por contrato cuando alguien de su gente se va o cambia de función (PS-7), retirar llaves, tarjetas y pases al que se va (PS-4) y confirmar las autorizaciones del que cambia de turno (PS-5). Ese aviso hay que ir a buscarlo al contrato: si no está escrito, no ocurre.

EL FLUJOGRAMA

La fila que manda es la tercera: dice también lo que no va a pasar.

Que la decisión sea previa no es un recurso de redacción: está adentro de la definición. IEC 60839-11-1 define la decisión de acceso como comparar información contra reglas pre-fijadas, y llama nivel de acceso al conjunto de reglas que determina dónde y cuándo una credencial tiene acceso autorizado. El horario no es un agregado que un fabricante inventa para diferenciarse: a quien le ofrezcan permisos sin franja horaria le están ofreciendo menos que el mínimo.

NIST SP 800-53 Rev. 5 escribe el requisito con la misma palabra: su control PE-3 pide verificar las autorizaciones individuales antes de conceder el acceso, y admite dos maneras de ejecutarlo —un sistema de control de accesos, o guardias— sin preferir ninguna. Lo que cambia no es quién abre la puerta, sino cuándo se decidió que se abriera: una portería con una lista escrita antes está más cerca de este peldaño que un lector configurado en la puesta en marcha y nunca más revisado.

Y el «y nada más» de la definición tiene cincuenta años: es el mínimo privilegio que formularon Saltzer y Schroeder en 1975. El fundamento que dan le cambia el tono al escalón entero, porque el principio existe para limitar el daño que puede resultar de un accidente o un error: el permiso que sobra no se paga el día que alguien traiciona, se paga el día que alguien se equivoca.

El padrón de quién puede qué vive en un solo lugar. Un alta o una baja se hacen una vez y rigen en el portón, en el molinete y en la puerta del sector cerrado. Lo que se gobierna desde un solo lugar acá son los permisos, no las pantallas.

Cada decisión deja traza sin que nadie la transcriba: se otorgó o se negó, a quién, dónde y cuándo. La auditoría deja de ser una entrevista: «quién podía estar ahí» tiene respuesta antes de que nadie salga a preguntar. Y la negativa no es un dato mudo: la norma le pide causa, y enumera privilegio que no incluye ese portal, ese horario o ese día; información memorizada incorrecta o no provista a tiempo; violación de antirretorno; credencial vencida, no vigente o nunca cargada; el feriado; el código de instalación. Leída de corrido, la lista dice algo incómodo y útil: la mayoría de las causas tipificadas no describe a un intruso — describen un padrón desactualizado. Qué proporción de las negativas de un predio real es cada causa no está publicado en ningún lado, y por eso se mide en el propio registro, que es lo único que lo puede contestar.

La portería deja de ser un puesto de decisión. Sigue haciendo falta gente, para otras cosas; lo que se termina es que el criterio de acceso dependa de quién esté parado en la puerta un martes a las once de la noche.

Y da consistencia entre sectores, que es el efecto que más tarda en verse. Que esté resuelto se nota sin una sola cifra: cuando entra alguien, el permiso sale del mismo trámite que el alta y nadie llama a nadie para que le habiliten una puerta; cuando alguien se va, la credencial deja de abrir ese día. Y al revés vale igual: si para saber quién puede entrar a un sector hay que preguntarle a una persona, el padrón no está en un solo lugar, aunque haya lectores en todas las puertas.

Un control no falla de golpe, y conviene saber por dónde se va — nunca por el equipo.

En el uso, que es donde la regla no llega. La decisión está bien tomada y el lector la ejecuta bien, y después pasan dos personas con una credencial, o alguien presta la suya, o la puerta queda trabada porque están descargando. De esa escena queda la imagen, y la tiene el escalón de abajo: la pregunta completa se contesta entre los dos, nunca con uno solo.

En el padrón, que es donde no llega el tiempo. La guía NIST SP 800-162 lo describe sin metáforas: la decisión, una vez escrita, queda estática, y hace falta un proceso de aviso para que alguien la vuelva a evaluar; cuando ese aviso falla, se acumulan privilegios. Ojo con el remedio, que rompe por el otro lado: un grupo nuevo por cada caso raro termina en lo que esa guía llama explosión de roles, un padrón que ya nadie puede revisar. Un escalón resuelto tiene los grupos que alguien de la casa puede explicar en voz alta.

En la excepción que no vuelve, y en la puerta que no consulta la regla. Llegó un camión fuera de horario, alguien habilitó, la urgencia pasó y la habilitación quedó: una excepción sin vencimiento es una regla nueva que nadie escribió. Y alcanza con un acceso que quedó con llave física, o con un sector que se administra aparte, para que el padrón deje de valer justo donde importa. Saltzer y Schroeder lo llamaron mediación completa —cada acceso verificado, sin excepción—: si hay una puerta que no pregunta, lo que hay no es un permiso, es una costumbre.

Recibe de Seguridad el registro, que es el sustrato al que atarle una decisión. Y le entrega al de arriba un predio donde ya está decidido quién puede qué, para que el siguiente se ocupe de cuánto tarda cada paso.

Con Seguridad se confunde, porque los dos hablan de accesos. La línea es corta: el de abajo registra que alguien pasó; éste decide si podía pasar. Con cámaras puestas —que es el caso de casi cualquier predio— la línea es más fina de lo que parece: un rechazo en la puerta sí deja imagen. Lo que el de abajo no tiene no es el hecho, es la sentencia — quién era, qué pidió y por qué se le dijo que no. El video graba la escena; sólo este escalón escribe la razón.

Con Confort operativo, los dos hablan del ingreso de un proveedor. La línea: éste decide si tiene derecho a entrar; el siguiente, que entre sin hacer fila. Un predio puede tener el permiso definido con precisión y una fila de veinte minutos en la puerta; al revés también pasa, y es peor.

Con Productividad, los dos hablan de traza. La línea: éste deja la traza; el quinto es que alguien cambie algo por haberla leído. Un predio puede tener toda su traza y no haber cambiado nada, y este escalón está cumplido igual. Con Sustentabilidad casi no se tocan: ese peldaño habla del sistema mismo; éste, de lo que decide sobre la gente. Un lector apagado no niega nada.

Y con Analítica y Acción, que no es un escalón, la línea es de rol y no de tecnología — conviene decirlo así porque la norma de control de accesos incluye el reconocimiento en su alcance y trata a la biometría como un tipo de credencial. El plus clasifica a cualquiera que pase, esté o no en el padrón; éste compara contra el padrón. Cuando el rostro es la credencial, reconocer es la entrada a la decisión y no la decisión: lo que autoriza sigue siendo la regla escrita antes.

Cinco preguntas, y ninguna es sobre el equipo; sirven para medir a cualquiera del otro lado de la mesa, incluidos nosotros. ¿Dónde queda escrita la regla, y quién puede cambiarla? Si se configura en la puesta en marcha y ahí queda, falta la mitad: la regla es de la casa. Y si la respuesta arranca por el modelo del lector, todavía no se está hablando de este escalón.

¿La negativa queda registrada con su causa? No alcanza con que quede el «no»: la causa es lo que permite arreglar el padrón en vez de discutir con una persona. ¿La baja de la credencial es parte del trámite de la baja de la persona? Si va aparte, no se hace; con los contratistas, la pregunta se muda al contrato.

¿El padrón se revisa, cada cuánto, y quién firma esa revisión? Es la que menos se hace y la única que encuentra el permiso que sobra. ¿Y la misma regla vale en todas las puertas? Hay que preguntar por las que no tienen lector: la llave del portón viejo, el sector que se administró aparte.

Y una sexta, de borde, que evita comprar una cosa creyendo que es otra: una pantalla que junta todos los sistemas no es este escalón sino el siguiente, y se mide con la vara de Confort operativo, que se cobra en el tiempo de una persona y no en quién puede qué. Se pueden comprar juntos; se evalúan separados.

IEC 60839-11-1:2013 — Electronic access control systems — System and components requirements. Se cita la vista previa oficial, cláusula 3 «Terms and definitions»; el texto completo es pago y no se leyó. Su lista de causas de negativa es una definición con ejemplos, no una estadística.

NIST SP 800-53 Rev. 5 — Security and Privacy Controls for Information Systems and Organizations. Controles PE-3 (verificar antes de conceder, y registros de auditoría), PE-2 (mantener y revisar la lista de autorizados), PS-4, PS-5 y PS-7 (la baja y el aviso por contrato del proveedor externo).

NIST SP 800-162 — Guide to Attribute Based Access Control (ABAC). De donde salen la decisión que queda estática y la explosión de roles.

Saltzer, J. y Schroeder, M., «The Protection of Information in Computer Systems», Proceedings of the IEEE 63(9), septiembre de 1975, pp. 1278-1308. El mínimo privilegio y la mediación completa están en su § I, «Basic Principles of Information Protection».

ISO 16484 — Building automation and control systems, la familia donde «control» nombra el gobierno de las instalaciones técnicas. Se cita a través de la descripción publicada por BACnet, cuyo protocolo es la parte 5 de esa familia; el texto de la norma es pago y no se leyó.