Modelo de roles y permisos
El modelo RBAC
Sección titulada «El modelo RBAC»Principios.
- Cada usuario tiene uno o más roles.
- Cada rol habilita un conjunto de perfiles de acceso («tokens ACL») que deciden qué tiles aparecen en Inicio y en los hubs.
- El acceso a cada página se filtra además con los page-gates; cada acción (transiciones, edición de campos, aprobaciones, funciones sensibles), con las capabilities.
- El modelo es a prueba de fallos: si una personalización de los permisos no está disponible, se aplican los predeterminados; un permiso que no se otorga está denegado.
- Los overrides se aplican como delta respecto al valor predeterminado: solo se guardan los roles que difieren, y los cambios al código se activan con el deploy.
Alcance de los datos. Además del RBAC funcional, el acceso a los datos se restringe por tenant y, para algunos roles (operadores con scope, Customer Service), por contrato/grupo: el acceso de Customer Service es lineal (perfil ∪ grupos del cliente); los casos confidenciales de RR. HH. y los datos de remuneración tienen permisos dedicados.
Los perfiles de acceso (token → área)
Sección titulada «Los perfiles de acceso (token → área)»Los perfiles de acceso son los «bloques» que componen la visibilidad de un rol. La siguiente tabla muestra su correspondencia con las áreas del manual:
| Token | Área / hub habilitado |
|---|---|
ITHUB |
Hub de TI / ITSM (Hub de TI / ITSM) |
OPS |
Operación del service desk / colas |
NOC |
Hub NOC / Observability (NOC, Observability e ITOM) |
SOC |
SOC — Seguridad operativa (Hub de Seguridad) |
XDR |
XDR — Detection & Response (XDR Ops) |
ICC |
Integration & Communication Center (Directorio de proyectos / clientes) |
GRC |
GRC / Riesgo / Cumplimiento (GRC, riesgo, cumplimiento y legal) |
HR |
Hub de RR. HH. — operación (Hub de RR. HH.) |
HRHUB |
Hub de RR. HH. — página de inicio |
HRMGR |
RR. HH. — gestión (aprobaciones, casos) |
HRREC |
RR. HH. — reclutamiento (Acciones de proceso) |
HRADM |
RR. HH. — administración/configuración (Saldos de vacaciones) |
SECHUB |
Hub de Seguridad — página de inicio (Hub de Seguridad) |
DIR |
Vistas de dirección de servicio (Operations Cockpit) |
MGR |
Vistas de gestión de equipos |
EXEC |
Executive Cockpit (Propósito y mapa del área) |
OPSDASH |
Operations Dashboard / cockpit (Global Director) |
SMD |
Service Manager Director (Operations Cockpit) |
CFG |
Lanzador de Configuraciones (Administración) |
GADM |
Administración global (usuarios, roles, sistema) |
LOGINSP |
Inspección de accesos / logs |
Matriz roles → hubs
Sección titulada «Matriz roles → hubs»La tabla muestra los perfiles de acceso que se otorgan a los roles canónicos y a los principales roles extendidos (valores predeterminados de la plataforma; un tenant puede modificarlos con overrides).
| Rol | Perfiles de acceso (tiles) |
|---|---|
| Administrator | Todos los hubs operativos + GADM, HRADM, dirección (superadministrador) |
| System Admin (sadmin) | Todos los perfiles (ACL_ALL) |
| Senior Director | Todos los perfiles (ACL_ALL) |
| Service Director | Todos los perfiles (ACL_ALL) |
| Director | NOC, SOC, XDR, ICC, GRC, OPS, HR, DIR, MGR, HRMGR, HRREC, HRHUB, EXEC, OPSDASH |
| IT Manager / IT Admin | Todos los perfiles (ACL_ALL) |
| ITSM Manager | DIR, MGR, HRMGR, HRREC, HRHUB (+ gestión del servicio de TI) |
| NOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, NOC |
| SOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, SOC |
| XDR Manager | DIR, MGR, HRMGR, HRREC, HRHUB, XDR |
| ICC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, ICC |
| GRC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, GRC |
| OPS Manager / L1 Manager | DIR, MGR, HRMGR, HRREC, HRHUB, OPS |
| Manager / Line Manager | DIR, MGR, HRMGR, HRREC, HRHUB (gestión de personas) |
| L1 Operator | ITHUB, OPS, LOGINSP (triage L1) |
| L2 Operator | ITHUB, OPS, LOGINSP (escalamiento L2) |
| L3 Operator | ITHUB, OPS, LOGINSP (experto L3) |
| NOC Operator | ITHUB, OPS, LOGINSP, NOC |
| SOC Operator | ITHUB, OPS, LOGINSP, SOC |
| XDR Operator | ITHUB, OPS, LOGINSP, XDR |
| ICC Operator | ITHUB, OPS, LOGINSP, ICC |
| GRC Operator | ITHUB, OPS, LOGINSP, GRC |
| HR Director | HR, HRMGR, HRREC, HRHUB, HRADM, DIR |
| HR Manager / HR Admin | HR, HRMGR, HRREC, HRHUB, HRADM |
| HR Specialist / HR Operator / Recruiter | HR, HRREC, HRHUB, HRADM |
| PMO Manager | SMD, MGR, DIR |
| Sales Account Manager | DIR, MGR, OPSDASH |
| Sales Director | EXEC, DIR, OPSDASH |
| Finance Manager / Controller / Treasurer | DIR, OPSDASH |
Fichas funcionales por rol
Sección titulada «Fichas funcionales por rol»A continuación, para los roles principales, qué ve y qué puede hacer cada uno en concreto.
Operador L1 (L1 Operator)
Sección titulada «Operador L1 (L1 Operator)»- Ve: Hub de TI, cola del Service Desk, KB, sus propios tickets asignados.
- Hace: triage de los tickets entrantes, toma a cargo, primer diagnóstico con ayuda de la KB y del AI Copilot, apertura de tickets con Composer, actualizaciones y comentarios, escalamiento a L2. Usa intensamente el Editor de tickets (Editor de tickets).
- No hace: configuraciones, aprobaciones de cambios/RR. HH., acceso a los casos confidenciales.
Operador L2 / L3
Sección titulada «Operador L2 / L3»- Ve: lo mismo que L1, más las herramientas de análisis a fondo (Issue Inspector, notas internas, Consola PAM sobre los CI).
- Hace: gestión de escalamientos, análisis técnico, resolución; L3 trabaja como experto del dominio y contribuye a Problem/Known Error y a la KB.
Operadores de dominio (NOC / SOC / XDR / ICC / GRC)
Sección titulada «Operadores de dominio (NOC / SOC / XDR / ICC / GRC)»- Ve: los hubs base (TI/OPS) más su propio dominio.
- Hace: trabaja las colas específicas del dominio (alertas NOC, alertas/incidentes SOC, correlaciones XDR, solicitudes ICC, controles GRC), con las herramientas y los tipos de ticket dedicados.
Operador de RR. HH. / Recruiter / HR Specialist
Sección titulada «Operador de RR. HH. / Recruiter / HR Specialist»- Ve: Hub de RR. HH., HR Workspace, reclutamiento, administración de RR. HH.
- Hace: trabaja los trámites de RR. HH. en la Inbox de gestión (HR Workspace, la Inbox de gestión), hace avanzar los procesos, administra campañas de documentos y reclutamiento; el recruiter opera el pipeline de candidatos y el Banco de CV.
- No hace (salvo permiso): casos confidenciales (disciplinarios/acoso/ética), datos de remuneración sensibles — reservados para los roles HR Manager/Director.
Gerentes de dominio (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)
Sección titulada «Gerentes de dominio (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)»- Ve: las vistas de gestión y dirección de servicio (DIR/MGR) y su propio dominio.
- Hace: gobierno de las colas y los equipos, aprobaciones (por ejemplo, CAB para el ITSM Manager), monitoreo de SLA y productividad, gestión de escalamientos y Major Incidents.
HR Manager / HR Director
Sección titulada «HR Manager / HR Director»- Ve: todo el Hub de RR. HH., la gestión (HRMGR), la administración (HRADM); el HR Director, también las vistas de dirección (DIR).
- Hace: aprobaciones de RR. HH., gestión de los casos confidenciales y de los datos de remuneración, configuración de RR. HH. (procesos, plantillas, catálogos, campañas), organización y workforce planning.
Service Director / Senior Director / Director
Sección titulada «Service Director / Senior Director / Director»- Ve: las vistas de dirección de todos (o casi todos) los dominios, los cockpits y el Operations Dashboard; el Service Director y el Senior Director tienen visibilidad completa (
ACL_ALL). - Hace: supervisión de varios servicios, lectura de los KPI agregados, drill-down, gobierno de los escalamientos a dirección; no se ocupa de la configuración de la plataforma (que queda a cargo de los administradores), salvo que tenga un rol combinado.
Executive / CISO (Executive Cockpit)
Sección titulada «Executive / CISO (Executive Cockpit)»- Ve: el Executive Cockpit (EXEC) y el Operations Dashboard: KPI de alto nivel de servicio, seguridad, riesgo y finanzas.
- Hace: lectura estratégica y drill-down; ninguna operación de detalle.
Roles comerciales y de finanzas
Sección titulada «Roles comerciales y de finanzas»- Sales Account Manager / Sales Director: vistas de dirección y dashboards operativos (DIR/MGR/OPSDASH; el account manager, sobre sus propios clientes); el Sales Director tiene acceso al Executive Cockpit.
- Finance Manager / Controller / Treasurer / Accounts Receivable: dashboards de dirección y operativos (DIR/OPSDASH) para los datos económicos (márgenes, facturación PSA).
PMO Manager
Sección titulada «PMO Manager»- Ve: Service Manager Director (SMD), vistas de gestión y dirección (MGR/DIR).
- Hace: gobierno de proyectos y portafolio (PSA/SPM), coordinación de los recursos.
System Admin (sadmin) / IT Admin / Administrator
Sección titulada «System Admin (sadmin) / IT Admin / Administrator»- Ve: todo, incluidos el lanzador de Configuraciones (CFG) y la administración global (GADM/HRADM).
- Hace: configuración completa de la plataforma (Flow Engine, automatizaciones, enrutamiento, notificaciones, workflows, catálogos), gestión de usuarios/equipos/roles, sistema, integraciones e importaciones. Es el rol con los privilegios más amplios: las acciones más sensibles (cambios masivos, purgas, ejecución de scripts SecOps) siguen protegidas con barreras y confirmaciones.