# ¿Tu revisión de acceso de Touch ID cubre las aprobaciones de agentes? Un cambio en la inscripción de huellas es un cambio de acceso. Trátalo con la misma seriedad que una cuenta nueva de administrador, un portátil transferido o un dispositivo recuperado, porque cambia quién puede superar una solicitud de aprobación biométrica justo cuando un agente quiere actuar. La afirmación parece obvia hasta que un despliegue está esperando, alguien dice que solo añadió la huella de su pareja para que pueda desbloquear el portátil y el equipo recuerda que ese mismo ordenador puede aprobar el uso de credenciales de producción. He visto equipos crear controles cuidadosos alrededor de un agente y dejar fuera de su proceso de acceso el ordenador físico que contiene el botón de aprobación. El punto débil rara vez es la criptografía. Casi siempre es un atajo razonable que nadie registró. Este procedimiento cubre las huellas añadidas y eliminadas, un cambio de propietario del Mac y el bloqueo biométrico. Parte de la premisa de que un agente de IA solo puede hacer solicitudes HTTP o conexiones SSH después de que una persona autorice el flujo de acción. Adapta los nombres de los roles locales y de los contactos de escalamiento a tu equipo, pero no suavices los puntos de decisión. Si no puedes establecer quién controla el Mac, no permitas que ese Mac apruebe acciones importantes. ## Un cambio de huella modifica el límite de aprobación Una huella añadida puede autorizar a una persona a cruzar el mismo límite biométrico que el propietario anterior, por lo que el propietario debe revisarla antes de que el equipo apruebe otra acción del agente. La cuestión no es si la nueva huella pertenece a un familiar de confianza, a un compañero de equipo o a un técnico de TI. La cuestión es si esa persona tiene ahora una forma práctica de aprobar actividad vinculada a credenciales que no administra. La guía de Touch ID de Apple explica que las huellas se inscriben en el dispositivo y que macOS puede solicitar una contraseña después de ciertos eventos en lugar de aceptar Touch ID. Ese recurso es útil, pero no convierte un cambio de inscripción en una preferencia inofensiva. El Mac sigue necesitando una cuenta protegida por contraseña con suficiente autoridad para administrar la inscripción, y la posesión física sigue siendo importante. Ejecuta esta revisión cada vez que alguien añada o elimine una huella, tanto si el cambio fue intencionado como si ocurrió durante una tarea de soporte. La persona responsable del Mac debe completarla antes de usar cualquier agente que pueda llegar a infraestructura compartida. 1. Identifica al propietario actual del dispositivo y la cuenta local que controla la inscripción de Touch ID. Anota el nombre del propietario, no un alias del equipo. 2. Abre la configuración de Touch ID del Mac con el propietario presente. Compara las huellas inscritas con los usuarios esperados. Pregunta por qué existe cada una. 3. Confirma qué cuentas locales pueden desbloquear el Mac, administrarlo y cambiar la configuración del dispositivo. Revisar las huellas sin revisar las cuentas deja fuera la mitad del camino hacia la aprobación. 4. Termina todas las ejecuciones del agente que estuvieran activas antes del cambio. No arrastres una decisión de autorización anterior a un límite de aprobación que ha cambiado. 5. Revisa las credenciales que el agente puede invocar desde este Mac. Mantén las credenciales de mayor impacto detrás de una confirmación humana nueva hasta completar la revisión. El caso incómodo es el técnico de soporte. Puede necesitar una contraseña y acceso físico para reparar un equipo, pero eso no le concede automáticamente el derecho permanente a aprobar las acciones de su agente. Si la inscripción del soporte es inevitable, elimina la huella como parte del cierre de la reparación y registra que lo hiciste. Un ticket que dice «Touch ID reparado» no registra quién pudo aprobar el acceso a producción durante la reparación. No pidas a la gente que jure que no tocará la solicitud. Diseña el proceso teniendo en cuenta que el acceso físico compartido cambia el riesgo. Las personas cometen errores cuando una confirmación parece rutinaria, sobre todo cuando un agente avanza rápido y la solicitud se parece a tareas que realizan todos los días. ## La aprobación por llamada necesita una decisión humana identificada La aprobación por llamada solo es segura cuando la persona que aprueba puede reconocer la acción, la credencial y la consecuencia en el momento de la solicitud. Touch ID puede demostrar que una persona inscrita interactuó con el Mac. No puede demostrar que la persona adecuada entendió una solicitud que el agente hizo treinta segundos antes. Esa diferencia se difumina constantemente. A menudo se describe una solicitud biométrica como una comprobación de identidad y luego se usa como si fuera una revisión de autorización. Están relacionadas, pero responden a preguntas distintas. La identidad pregunta si un usuario inscrito tocó el sensor. La autorización pregunta si ese usuario debe permitir esta llamada ahora. Un equipo que las confunde aprobará una solicitud destructiva con la confianza que inspira una pantalla de inicio de sesión. Escribe la regla de aprobación en lenguaje corriente. Por ejemplo: «Cualquier llamada que pueda cambiar un despliegue de producción, crear un token de larga duración, modificar la facturación o enviar datos fuera de la organización requiere que el propietario actual del servicio la revise y la apruebe». Esa regla identifica el criterio humano. No finge que la huella tomó la decisión por sí sola. La solicitud de aprobación también necesita contexto útil. Antes de aceptarla, la persona revisora debería poder responder a estas preguntas sin reconstruir el razonamiento privado del agente: - ¿Qué proceso del agente hizo la llamada? - ¿Qué credencial usará la llamada? - ¿Qué destino recibirá la solicitud o el comando SSH? - ¿Qué operación ocurrirá si la llamada tiene éxito? - ¿Por qué esta persona, en este Mac, tiene permiso para aprobarla? Si tu solicitud no puede responder a esas preguntas, corrige el flujo antes de ampliar el acceso. Una solicitud genérica que dice que un agente necesita permiso crea una apariencia de aprobación. La gente hace clic porque no puede avanzar con su trabajo, no porque haya tomado una decisión informada. Sallyport hace explícita esta separación: una bóveda bloqueada deniega todas las acciones, la autorización de sesión cubre un proceso del agente hasta que termina y una credencial puede exigir aprobación cada vez que se usa. Esa secuencia fija es más fácil de revisar que un conjunto improvisado de excepciones, siempre que el equipo siga tratando la confirmación biométrica como una decisión humana y no como un sello mágico. Para llamadas cotidianas de bajo impacto, la aprobación por sesión puede ser razonable. Mantiene a la persona al mando de una ejecución sin obligarla a confirmar cada lectura inofensiva. Usa la aprobación por llamada cuando una sola llamada pueda crear un cambio duradero o exponer datos importantes. No marques todas las credenciales de esta forma solo para parecer estricto. Un exceso de solicitudes enseña a la gente a aprobarlas a ciegas, y la solicitud importante acaba llegando con el mismo aspecto que las demás. ## Las transferencias de propiedad requieren una ruptura de custodia Cuando un Mac cambia de manos, el propietario anterior debe perder la capacidad de aprobar acciones antes de que el nuevo propietario lo use. La entrega no termina cuando el portátil llega a otro escritorio ni cuando cambia el inventario de gestión de dispositivos. Termina cuando el acceso local del equipo, las biometrias inscritas, el acceso a la bóveda, las sesiones activas y las credenciales coinciden con la nueva disposición de custodia. El enfoque seguro más rápido es una reconfiguración completa. En un Mac propiedad de la empresa, bórralo y configúralo para el nuevo propietario mediante el proceso habitual de gestión de la organización. Así no tendrás que razonar sobre cuentas locales antiguas, huellas olvidadas, sesiones del navegador, tokens almacenados en caché y herramientas de desarrollo que sobrevivieron a la transferencia. Reconfigurar lleva tiempo, pero intentar reconstruir los hechos después de una mala transferencia lleva más. A veces no es posible reconstruir el equipo desde cero porque contiene un estado de desarrollo local que aún no se ha trasladado. En ese caso, utiliza un procedimiento de transferencia temporal y fija una fecha de finalización. No permitas que «ya lo limpiaremos después» se convierta en el estado permanente de un Mac con capacidad para producción. Una transferencia temporal debe seguir este orden: 1. El propietario anterior cierra sesión en los servicios, bloquea la bóveda y detiene todas las ejecuciones del agente. Exporta únicamente el material de desarrollo que necesita el nuevo propietario y hazlo por una vía aprobada. 2. Un administrador elimina la cuenta local del propietario anterior o la desactiva según la política de la empresa. Confirma que el propietario anterior no pueda iniciar sesión después de reiniciar. 3. El nuevo propietario inscribe su propia cuenta local y su huella. Comprueba la lista de inscripciones mientras están presentes el administrador y el nuevo propietario. 4. Recrea el acceso de forma deliberada. No copies credenciales, claves privadas SSH, perfiles del navegador ni archivos locales de secretos de la cuenta anterior, porque copiar conserva accesos que quizá no detectes. 5. Revisa el registro de actividad después de que el nuevo propietario realice la primera llamada aprobada del agente. Confirma que el proceso, el destino y la credencial coinciden con su trabajo. La propiedad del Mac y la propiedad de las credenciales son cosas distintas. Un contratista puede tener el equipo temporalmente mientras un empleado sigue siendo el propietario del servicio. En ese caso, el contratista no debería convertirse en parte aprobadora solo porque posee el dispositivo. Mantén la credencial fuera de ese flujo o exige que el propietario real del servicio haga la confirmación desde un dispositivo aprobado. No resuelvas una transferencia cambiando el nombre mostrado y conservando el perfil anterior. Este enfoque es popular porque conserva las herramientas y evita una configuración lenta. Es incorrecto para un equipo que puede autorizar la actividad de un agente porque deja demasiadas rutas sin examinar: contraseñas guardadas, configuración SSH, historial de comandos, repositorios locales y acceso a métodos de recuperación. La comodidad tiene su lugar al configurar una estación de trabajo. No pertenece al rastro de evidencias de un cambio de custodio. ## Las huellas eliminadas necesitan pruebas, no una garantía verbal Eliminar una huella reduce una vía de aprobación, pero no demuestra que el antiguo usuario haya perdido el acceso al Mac. La revisión debe establecer que esa persona no puede autenticarse mediante otra cuenta local, una credencial de administrador, un método de recuperación o una sesión que ya estuviera abierta. Esto importa después de salidas de empleados y cambios de rol. Un responsable puede pedir que se elimine una huella porque un empleado ya no trabaja en el servicio. Es una buena primera acción, pero puede crear una falsa sensación de seguridad si el empleado aún conoce la contraseña de inicio de sesión, conserva una cuenta de administrador o tiene un dispositivo que permanece desbloqueado en un escritorio compartido. Usa este conjunto de evidencias cuando se elimine una huella de un Mac: - El propietario actual abre la configuración de Touch ID y confirma que la huella ya no está. - Un administrador verifica que las cuentas locales anteriores estén desactivadas o eliminadas según el procedimiento de conservación aplicable. - El propietario actual bloquea la pantalla, reinicia el Mac y comprueba que solo las personas aprobadas puedan volver al escritorio. - El propietario del servicio revisa qué credenciales estaban disponibles antes de la eliminación y decide si alguna requiere rotación. - La persona revisora registra la hora del cambio de acceso, las personas implicadas y el resultado de las comprobaciones. Reiniciar es útil porque elimina el estado tranquilizador, pero engañoso, de un ordenador que ya estaba desbloqueado. También obliga al equipo a enfrentarse a la ruta de la contraseña que Touch ID normalmente oculta. Si el antiguo usuario aún puede superar la pantalla de inicio de sesión, la huella no era el límite de acceso que creías. Rota una credencial cuando la persona anterior tenía acceso a ella, podía haberla copiado o podía haber aprobado llamadas mientras el equipo estaba desbloqueado. No la rotes solo porque alguien eliminó una huella meses después de un cambio rutinario, si puedes demostrar que la credencial nunca estuvo expuesta a esa persona y que el dispositivo permaneció bajo una custodia controlada. Rotar tiene un coste, y hacerlo indiscriminadamente hace que los equipos retrasen la rotación cuando realmente hace falta. Basa la decisión en lo que la persona podía hacer, no en un ritual. Este también es el momento de revocar las sesiones del agente. Una aprobación de sesión es una afirmación sobre un proceso concreto en ejecución bajo una condición de acceso concreta. Cuando cambia la persona autorizada o la inscripción biométrica, esa afirmación caduca. Reiniciar el agente es barato. Explicar por qué un proceso antiguo conservó el acceso después de un cambio de custodia no lo es. ## Un bloqueo biométrico exige contención inmediata Un bloqueo de Touch ID debe pausar las aprobaciones hasta que el equipo confirme la posesión y recupere el acceso mediante la ruta de recuperación prevista. Los bloqueos ocurren por razones normales: varios intentos fallidos, un reinicio, un problema del sensor o una solicitud de macOS para introducir la contraseña de la cuenta. También ocurren justo en el peor momento, cuando alguien siente presión por encontrar cualquier forma de rodear el control. No respondas dejando el equipo desbloqueado, compartiendo la contraseña de una cuenta por chat ni trasladando una credencial a un archivo de configuración del agente. Esas acciones resuelven la solicitud inmediata y crean un incidente más largo. El agente nunca debe recibir el secreto simplemente porque una persona no puede completar una confirmación biométrica. Usa esta secuencia de contención: 1. Detén la ejecución del agente o revoca su autorización. Registra el proceso del agente y la acción que intentaba realizar. 2. Establece la custodia física. Pregunta quién tiene el Mac, dónde ha estado y si alguien fuera del grupo aprobado pudo usarlo mientras estaba desbloqueado. 3. Usa la contraseña de la cuenta local mediante la ruta normal de macOS si el propietario está presente y autorizado. Que se solicite la contraseña después de reiniciar es un comportamiento esperado, no una prueba de que Touch ID haya fallado. 4. Si el propietario no puede autenticarse, entrega el dispositivo al proceso aprobado de soporte o recuperación. No improvises usando la cuenta o la huella de otra persona. 5. Después de la recuperación, revisa la lista de inscripciones, las cuentas locales y cualquier acción intentada por el agente antes de restaurar la capacidad de aprobación. El quinto paso es donde los equipos se descuidan. Vuelven a ver el escritorio y declaran que el incidente ha terminado. La recuperación demuestra que alguien recuperó el acceso, pero no responde si el bloqueo ocultaba un problema de hardware, intentos no autorizados, una lista de huellas modificada o una sesión abandonada del agente. Dedica dos minutos a responder esas preguntas mientras el evento está reciente. Un bloqueo durante una publicación urgente merece el mismo tratamiento. Traslada la decisión de publicación a otro equipo aprobado si la organización dispone de uno. Si no lo tiene, pausa la acción importante. La respuesta frustrará a alguien, pero es mejor que degradar el límite de las credenciales bajo presión y descubrir después que la excepción se convirtió en el proceso documentado. ## La puerta de la bóveda debe seguir siendo absoluta durante la incertidumbre Cuando la custodia o el estado biométrico del Mac no estén claros, deniega el acceso en el límite de la bóveda hasta que una persona responsable lo resuelva. Una regla condicional que permita continuar algunas llamadas del agente mientras el equipo investiga es más difícil de razonar y mucho más fácil de abusar. Aquí es donde un modelo de control sencillo demuestra su utilidad. Si una bóveda bloqueada deniega todas las acciones, la persona operadora no tiene que calcular si una solicitud HTTP es suficientemente inofensiva durante la revisión del dispositivo. Bloquea la bóveda, detiene las sesiones afectadas y realiza las comprobaciones. El coste es una interrupción breve. El beneficio es una respuesta clara a la pregunta que todos harán después: ¿podía el agente seguir actuando mientras el acceso al dispositivo estaba en duda? La bóveda de Sallyport está protegida por hardware en los Mac compatibles mediante Secure Enclave y Touch ID, y su estado bloqueado deniega las acciones. Eso no elimina la necesidad de revisar la custodia. Proporciona a la persona revisora un control de contención claro mientras determina quién tiene el ordenador y quién puede cumplir sus requisitos de aprobación. No conviertas este control en la afirmación de que el Mac está seguro siempre que la bóveda esté bloqueada. El Mac aún puede contener código fuente, sesiones del navegador, notas de trabajo o una cuenta local con autoridad amplia. La puerta de la bóveda protege las acciones que pasan por ella. Tus procedimientos de transferencia e incidentes también deben proteger el resto de la estación de trabajo. El mismo límite se aplica a cualquier registro de auditoría. Un registro puede mostrar que un agente intentó o completó una acción. No puede decirte si alguien vio al propietario anterior escribir una contraseña, si un equipo desbloqueado quedó desatendido o si un supervisor entendió una solicitud. Los registros ayudan a revisar, pero no hacen la revisión por ti. ## Las entradas de auditoría deben vincular el evento del dispositivo con la acción Una revisión de acceso es útil cuando una persona que investiga más tarde puede relacionar un evento de huella o de propiedad con la actividad del agente alrededor de ese momento. Conserva un único registro conciso que una el cambio físico, las comprobaciones de la cuenta local, las sesiones afectadas y la decisión sobre las credenciales. Para un equipo pequeño, basta con un ticket controlado o un diario de seguridad. Registra el identificador del activo Mac o el número de serie según tu procedimiento interno, el custodio anterior y el actual, el tipo de evento, la persona revisora, el intervalo de tiempo y el resultado. Después añade referencias al registro de sesión del agente y al registro de cada acción. No guardes contraseñas, imágenes de huellas, claves de recuperación ni secretos copiados en el ticket. Un registro puede tener esta forma: ```text Event: Touch ID enrollment removed Mac custodian before: Development contractor Mac custodian after: Platform engineer Observed by: Device administrator Local-account result: Former account disabled and restart check passed Agent result: Active sessions revoked at 14:32 UTC Credential result: Deployment credential rotated after access review Follow-up: Clean reprovision scheduled before reassignment ``` La finalidad de este registro no es añadir papeleo. Evita la ambigüedad más dañina: una persona cree que el dispositivo cambió de manos, otra cree que la aprobación del agente seguía siendo válida y una tercera da por hecho que se rotó una credencial porque se mencionó en una reunión. Cada afirmación necesita un resultado observable. Sallyport proyecta los registros de sesiones y llamadas desde un registro de auditoría cifrado, encadenado mediante hashes y protegido contra escritura. Su comprobación sin conexión `sp audit verify` puede establecer si la cadena cifrada sigue verificándose sin necesitar el material de la bóveda. Usa esa evidencia para comprobar la integridad y combínala con tu registro de custodia. Una cadena válida no convierte una entrega incompleta en una entrega completa. Después revisa los registros para detectar patrones que indiquen problemas del proceso: bloqueos repetidos durante una publicación, inscripciones de soporte recurrentes, aprobaciones desde equipos cuyos propietarios no están claros o credenciales marcadas para revisión por llamada que la gente evita usar porque cada solicitud carece de contexto. Son problemas de diseño. No castigues a quien los informa; cambia el flujo que hizo atractivo el atajo. ## Los Mac compartidos convierten las biometrias personales en un riesgo para el equipo Un Mac utilizado por más de una persona no debería ser la estación de aprobación de acciones sensibles de agentes a menos que el equipo pueda asignar y hacer cumplir una custodia clara. Las estaciones compartidas son habituales en laboratorios, salas de compilación y espacios temporales para incidentes. Son prácticas para trabajar y malas para demostrar quién tomó una decisión de permiso. La defensa habitual es que cada persona tiene su propio inicio de sesión. Eso ayuda, pero no basta cuando las personas conocen las contraseñas de los demás, dejan sesiones abiertas durante los cambios de turno o permiten que un compañero servicial use una huella para superar una solicitud. Las normas sociales de un equipo cooperativo suelen derrotar a la separación técnica. Asigna un custodio principal a cada Mac con capacidad de aprobación. Esa persona se encarga de revisar las inscripciones y el estado de bloqueo, y de escalar la situación cuando el equipo cambie de ubicación o de usuario. Si el equipo necesita una estación compartida para incidentes, mantenla fuera del flujo de aprobación de credenciales o usa un procedimiento que exija que un propietario autorizado del servicio apruebe desde su propio dispositivo controlado. También debes separar la comodidad física del alcance de las credenciales. Un Mac compartido puede alojar documentación, paneles y trabajo de agentes de solo lectura sin tener una vía hacia las credenciales de producción. En el momento en que puede autorizar a un agente a modificar sistemas compartidos, su ubicación, configuración de cuentas e inscripción biométrica necesitan la misma disciplina que cualquier otra estación de trabajo con privilegios. No dependas de un cartel pegado al monitor que diga «no uses Touch ID». Los carteles describen una intención. El sistema debe denegar la acción cuando el propietario previsto está ausente, y el proceso debe hacer visible esa ausencia. Si tu equipo no puede explicar quién puede desbloquear, aprobar y recuperar el Mac, retíralo del flujo de aprobación. ## La primera revisión debe hacerse antes de la próxima ejecución del agente Ejecuta la revisión inmediatamente después de una inscripción, una eliminación, un cambio de propietario o un bloqueo, porque las pruebas son más claras antes de que la gente retome el trabajo normal. Esperar a una revisión trimestral de acceso convierte un evento concreto en una prueba de memoria, y la memoria es donde desaparecen las excepciones silenciosas. Empieza con el dispositivo en tus manos. Identifica al custodio, inspecciona las huellas inscritas y las cuentas locales, bloquea o revoca el acceso si algo no está claro y termina las sesiones antiguas del agente. Después decide si las credenciales afectadas necesitan rotarse y registra el resultado junto con el historial de acciones relevante. La parte difícil no es abrir la configuración de macOS. La parte difícil es negarse a tratar un cambio de acceso físico como una comodidad personal cuando el mismo Mac puede aprobar el uso de credenciales reales por parte de un agente. Mantén claro ese límite y la próxima solicitud urgente será una decisión que podrás defender.