Cómo darnos el menor privilegio posible

Declare pares máquina–puerto, no rangos. Si no sabe cuáles son, lo averiguamos juntos antes de conectar nada. La lista vive en su infraestructura y sólo usted la edita: podemos solicitar un destino nuevo, no concedérnoslo.

El conector no necesita ningún puerto entrante. Abre la sesión hacia nosotros por TLS con autenticación mutua, saliente sobre el puerto de tráfico web. Si alguien le pide abrir un puerto para Igniten, algo está mal configurado.

Fije la versión del conector si su política lo exige, y verifique la firma de la imagen y su inventario de componentes con la clave pública que le entrega el panel de su organización.

Córralo con un usuario sin privilegios y sin acceso al resto de su red más allá de lo declarado. Su equipo de seguridad puede revisar el código del conector: lo entregamos a pedido, bajo acuerdo de confidencialidad.

Es amplio por necesidad: el permiso angosto sólo alcanza los archivos que la propia aplicación creó, lo que no sirve para indexar lo que su empresa ya tiene. Se compensa del lado suyo, con controles que usted aplica y verifica en su propia consola.

Acote la delegación al conjunto de personas habilitadas, no al dominio entero. Es el control que realmente limita nuestro alcance, y no depende de ninguna afirmación nuestra.

En Microsoft, use una política de acceso a aplicaciones limitada a un grupo de buzones. Es la diferencia entre concedernos la organización completa y concedernos las personas que efectivamente usan el producto.

Aplique acceso condicional a nuestra aplicación como a cualquier otra: origen, dispositivo, riesgo. Y revise periódicamente los alcances autorizados en su consola, que es la vista de lo que un proveedor puede hacer que no depende de lo que ese proveedor declare.