¿Qué es el principio de los cuatro ojos?
El principio de los cuatro ojos, también llamado control dual o aprobación de dos personas, es una regla por la que ciertas acciones requieren dos personas autorizadas: una que solicita y otra que aprueba. Ningún individuo por sí solo, ni ninguna cuenta comprometida por sí sola, puede completar la acción.
¿Cómo funciona el principio de los cuatro ojos?
Una persona inicia una acción protegida, que queda en estado pendiente. Una segunda persona, con una cuenta distinta, la revisa y la aprueba o la rechaza. Solo se ejecuta una solicitud aprobada, y quedan registradas las dos identidades. Las solicitudes que no reciben respuesta en un plazo fijado caducan. El control está asentado desde hace mucho en la banca y en el manejo de claves criptográficas, y el software de copia de seguridad lo ha adoptado para las operaciones que eliminan datos.
¿Qué operaciones de copia deben requerir dos personas?
El principio se aplica a las acciones que reducen la capacidad de recuperación, incluidas las indirectas.
| Acción | Por qué se incluye |
|---|---|
| Eliminar copias o puntos de restauración | Pérdida directa de datos de recuperación |
| Acortar la retención o la inmutabilidad | Los datos caducan antes de lo previsto |
| Retirar un repositorio | Su contenido puede quedar huérfano o borrarse |
| Cambiar cuentas de administrador | Podría crear un segundo aprobador en manos de una sola persona |
| Desactivar la función de aprobación | Apagaría el control |
¿Qué hace eficaz la doble aprobación?
Las dos partes tienen que ser independientes. Si ambas cuentas dependen del mismo directorio, un atacante que lo controle controla las dos. Si un administrador conoce la contraseña del otro, en la práctica hay una sola persona. Las cuentas de los aprobadores deben ser nominales, de uso individual, estar protegidas con su propia autenticación multifactor y, a ser posible, no estar ligadas al dominio de producción. En equipos pequeños, el aprobador puede ser un responsable, un responsable de seguridad o un proveedor externo. El artículo Aprobación del borrado de copias de seguridad trata el flujo en la práctica.
¿Qué relación tiene con la inmutabilidad?
El principio de los cuatro ojos regula lo que los administradores pueden hacer a través del software de copia y deja que un borrado justificado siga adelante. La inmutabilidad regula los propios datos almacenados y, en modo de cumplimiento, no admite ningún borrado hasta que caduca el bloqueo. Los dos se complementan. La aprobación protege la configuración y los datos fuera del periodo de bloqueo, y la inmutabilidad protege los puntos de restauración recientes aunque los dos aprobadores estén comprometidos.
Preguntas frecuentes
¿El principio de los cuatro ojos es lo mismo que la separación de funciones?
Están relacionados. La separación de funciones asigna tareas distintas a personas distintas. El principio de los cuatro ojos exige dos personas para la misma tarea.
¿La doble aprobación ralentiza las operaciones?
Solo en las pocas acciones que cubre. Las copias y restauraciones rutinarias no se ven afectadas.
¿Qué pasa si solo hay un administrador disponible?
La solicitud espera. Por eso se recomiendan al menos tres aprobadores posibles, para que las ausencias no bloqueen el trabajo legítimo.