Control de acceso

Por qué los permisos por carpeta se quedan cortos

Las unidades compartidas dan acceso por carpeta. Funciona hasta que un archivo pertenece a varios contextos a la vez. Una foto de producto forma parte de una campaña, de una gama de productos, de una selección regional y de un kit de prensa. Para dar acceso a cada público, los equipos la copian en cuatro carpetas, y las copias se van distanciando: una se retoca, otra conserva una licencia caducada, otra se elimina por error.

El control de acceso por recurso conserva un solo archivo y decide el acceso a partir de dos datos: quién lo solicita (su rol, equipo, empresa o dominio de correo electrónico) y qué es el recurso (su tipo, producto, campaña, colección o estado de derechos). También separa las acciones. Una configuración habitual permite que todos los empleados vean las vistas previas de toda la biblioteca, que el equipo de marca descargue los originales y que los distribuidores descarguen solo imágenes de tamaño web de los productos vigentes.

Modelos de control de acceso

Modelo	El acceso lo decide	Ejemplo en un DAM
Basado en roles (RBAC)	El rol de la persona	Los editores importan y editan metadatos; los lectores consultan y descargan
Basado en grupos	La pertenencia a un equipo, región o grupo de socios	El grupo de ventas nórdico ve las listas de precios nórdicas
Basado en atributos (ABAC)	Los atributos de la persona y del recurso, combinados en reglas	Las personas con el dominio de correo de la agencia pueden descargar las imágenes etiquetadas con la campaña de la agencia
Basado en el propietario	La persona propietaria del archivo	Un fotógrafo comparte una selección con una agencia

El control de acceso basado en roles está normalizado en ANSI INCITS 359-2004, y NIST SP 800-162 (2014) describe el control de acceso basado en atributos. La mayoría de los DAM combinan los modelos: los roles deciden qué funciones puede usar una persona y las reglas sobre atributos de los recursos deciden a qué recursos se aplican esas funciones.

Qué cubre una política de acceso a recursos

• Visibilidad: si el recurso aparece o no en los resultados de búsqueda y en las colecciones.
• Vista previa: una vista previa completa, una vista previa con marca de agua o ninguna.
• Descarga: si se puede descargar el archivo y en qué tamaños (el original o solo las versiones derivadas de tamaño web).
• Edición: cambios de metadatos, nuevas versiones, ediciones con IA.
• Uso compartido: si la persona puede enviar el recurso fuera de la organización mediante un enlace o un portal.
• Solicitudes: si quien no tiene acceso puede pedirlo al propietario del recurso o a un administrador.

Cómo configurar el control de acceso

1. Haz la lista de públicos antes que la de archivos: empleados, equipo de marca, agencias, distribuidores, prensa, visitantes públicos, y lo que necesita cada uno.
2. Concede el mínimo. Da a cada público lo que su trabajo requiere (el principio de mínimo privilegio) y mantén a los invitados bajo las reglas más estrictas.
3. Basa las reglas en metadatos como el tipo de recurso, el producto, la campaña o el estado de derechos, de modo que los recursos nuevos queden cubiertos en cuanto se etiquetan. Un vocabulario controlado mantiene la coherencia de esos valores.
4. Prueba una regla como una persona concreta antes de activarla.
5. Revisa los accesos cuando alguien se va o termina un contrato con un socio. El inicio de sesión único permite retirar el acceso de una persona en un solo lugar.

Control de acceso en Freedam

• Los roles conceden funciones como importar, editar metadatos, eliminar, descargar, compartir y administrar. Un rol puede heredar los permisos de un rol superior.
• Las reglas de acceso a recursos combinan condiciones sobre la persona (grupo de usuarios, rol, dominio de correo electrónico o invitado del portal) con filtros sobre el recurso (campos de metadatos, clase de recurso, colección, estado del flujo de trabajo o política de derechos). Las reglas se evalúan por orden de prioridad y se aplica la primera que coincide con la persona y con el recurso. Una regla que no se puede evaluar deniega el acceso.
• Cada regla define la visibilidad, la vista previa (completa, con marca de agua o ninguna), los tamaños de descarga permitidos, la edición con IA y si una descarga necesita la aprobación del propietario del recurso o del equipo de administración. También puede pedir que se indique el uso previsto, o que se acepte un aviso, antes de descargar.
• El probador de acceso muestra qué reglas coinciden con un usuario o con un invitado del portal, y si esa persona puede llegar a un recurso determinado.
• Los visitantes de un portal de marca quedan cubiertos por las mismas reglas, mediante una regla de invitado integrada que los administradores pueden reemplazar.
• Los enlaces para compartir pueden ser públicos, limitados a direcciones o dominios de correo electrónico concretos, protegidos con contraseña o privados, con fecha de inicio, fecha de caducidad, tamaño máximo de descarga y marca de agua.
• Las personas pueden iniciar sesión con Google o Microsoft, y las cuentas nuevas de los dominios de correo electrónico indicados reciben el rol definido para ese dominio.
• Los cambios en las reglas de acceso, los roles y los grupos de usuarios se registran en el registro de auditoría. La página de gobernanza ofrece una vista general.

Preguntas frecuentes

¿Cuál es la diferencia entre autenticación y control de acceso?

La autenticación confirma quién es una persona, con una contraseña o con el inicio de sesión único. El control de acceso decide qué puede hacer esa persona una vez que ha iniciado sesión. Un DAM necesita ambos: el inicio de sesión único por sí solo daría a todos los empleados el mismo acceso a toda la biblioteca.

¿Cuál es la diferencia entre RBAC y ABAC?

El control de acceso basado en roles concede permisos por rol, como editor o lector. El control de acceso basado en atributos evalúa atributos de la persona y del recurso, como el departamento, la región, la campaña o el estado de la licencia. RBAC es más sencillo de configurar. ABAC gestiona las excepciones sin crear un rol nuevo para cada una.

¿Los socios y las agencias necesitan cuentas propias?

Las agencias que importan archivos o trabajan en la biblioteca con regularidad necesitan cuentas en su propio grupo. Los distribuidores y la prensa que solo descargan suelen atenderse mediante un portal o un enlace para compartir, regulados por reglas de invitado, así que no hay cuentas que administrar.