Acceso multidimensional — rol × entidad × ámbito de datos × tiempo — versionado y auditable.
Autorización basada en roles ampliada a lo largo de la dimensión de entidad, la dimensión de ámbito de datos y la dimensión temporal. Configuración versionada con fechas de vigencia; el acceso del usuario en cualquier fecha pasada es reconstruible. Verificaciones de segregación de funciones a nivel de asignación de rol.
Multidimensional
Rol × entidad × ámbito de datos × tiempo. Un usuario puede ser tramitador de cuentas a pagar en la entidad A y lector en la entidad B, con distintos ámbitos en cada una.
Segregación de funciones
Los conflictos de combinación de roles se detectan en el momento de la asignación. El usuario no puede ser a la vez creador y aprobador de pedidos sin un control compensatorio documentado.
Acceso limitado en el tiempo
Las asignaciones de rol llevan fechas de inicio y fin. El acceso temporal (sustitución, proyecto, auditoría) expira automáticamente; el acceso permanente es la excepción, no la norma.
Reconstrucción del acceso
El acceso del usuario en cualquier fecha pasada es una consulta al journal de asignación de roles. *¿Tenía Juan derechos de aprobación el 14 de marzo?* es un clic.
Qué cubre la superficie de acceso
Definición de roles
Roles definidos como colecciones de autorizaciones sobre objetos operativos, con diferenciación entre leer / escribir / aprobar / eliminar. Las versiones de rol quedan preservadas a través de los cambios.
Ámbito de entidad
Ámbito de entidad por rol — un rol activo en algunas entidades, restringido en otras. Grupo, subgrupo, entidad y sucursal como niveles de ámbito.
Ámbito de datos
Reglas de ámbito de datos por rol — por departamento, región, segmento de clientes, línea de producto. Más allá de la entidad, el usuario solo ve los datos que su rol permite.
Biblioteca de segregación de funciones
Biblioteca de reglas SoD estándar (p. ej., no puede aprobar pagos a proveedores que mantiene) ampliable con la política del cliente. Detección en el momento de asignación del rol.
Roles limitados en el tiempo
Fechas de inicio y fin en cada asignación de rol. Los roles de sustitución para cubrir ausencias y períodos de auditoría se retiran automáticamente.
Auditoría de acceso
Cada asignación de rol, cada cambio de autorización, cada evento de inicio de sesión registrado en el journal. El acceso es reconstruible en cualquier fecha pasada.
Por qué la segregación de funciones se verifica en el rol, no en la transacción
Algunos ERP implementan la segregación de funciones con verificaciones a nivel de transacción — el sistema detiene al usuario en el momento en que intenta hacer algo prohibido. El control funciona para el usuario pero falla ante el auditor: la pregunta del auditor es *¿quién podría haber hecho esto?*, no *¿quién lo hizo?*.
Axional verifica la segregación de funciones en la asignación del rol. Antes de que se conceda la combinación de roles al usuario, el motor identifica el conflicto. La combinación requiere bien un rediseño (dividir las funciones de otro modo) o bien un control compensatorio documentado (con aceptación explícita por la autoridad competente). La respuesta a la auditoría es estructural, no transaccional.