Modelo de roles y permisos
El modelo RBAC
Sección titulada «El modelo RBAC»Principios.
- Cada usuario tiene uno o varios roles.
- Cada rol habilita un conjunto de perfiles de acceso («tokens ACL») que deciden qué tiles aparecen en la Home y en los hubs.
- El acceso a cada página se filtra además con los page-gates; el de cada acción (transiciones, modificación de campos, aprobaciones, funciones sensibles), con las capabilities.
- El modelo es fail-safe: si una personalización de los permisos no está disponible, se aplican los predeterminados; un permiso no concedido está denegado.
- Los overrides se aplican como delta respecto a la configuración predeterminada: solo se guardan los roles que difieren, y los cambios en el código se activan con el despliegue.
Ámbito de datos. Además del RBAC funcional, el acceso a los datos está restringido por tenant y, para algunos roles (operadores con ámbito limitado, Customer Service), por contrato/grupo: el acceso del Customer Service es lineal (perfil ∪ grupos del cliente); los casos de RR. HH. confidenciales y los datos retributivos tienen permisos específicos.
Los perfiles de acceso (token → área)
Sección titulada «Los perfiles de acceso (token → área)»Los perfiles de acceso son los «ladrillos» que componen la visibilidad de un rol. La tabla siguiente indica su correspondencia con las áreas del manual:
| Token | Área / hub habilitado |
|---|---|
ITHUB |
Hub de TI / ITSM (Hub de TI / ITSM) |
OPS |
Operativa del service desk / colas |
NOC |
Hub NOC / Observability (NOC, Observability e ITOM) |
SOC |
SOC — Seguridad operativa (Hub de Seguridad) |
XDR |
XDR — Detection & Response (XDR Ops) |
ICC |
Integration & Communication Center (Registro de proyectos / clientes) |
GRC |
GRC / Risk / Compliance (GRC, riesgo, compliance y legal) |
HR |
Hub de RR. HH. — operativa (Hub de RR. HH.) |
HRHUB |
Hub de RR. HH. — página de entrada |
HRMGR |
RR. HH. — gestión (aprobaciones, casos) |
HRREC |
RR. HH. — selección (Acciones de proceso) |
HRADM |
RR. HH. — administración/configuración (Saldos de vacaciones) |
SECHUB |
Hub de Seguridad — página de entrada (Hub de Seguridad) |
DIR |
Vistas de dirección de servicio (Operations Cockpit) |
MGR |
Vistas de gestión de equipos |
EXEC |
Executive Cockpit (Objetivo y mapa del área) |
OPSDASH |
Operations Dashboard / cockpit (Global Director) |
SMD |
Service Manager Director (Operations Cockpit) |
CFG |
Launcher Configuración (Administración) |
GADM |
Administración global (usuarios, roles, sistema) |
LOGINSP |
Inspección de accesos / logs |
Matriz de roles → hubs
Sección titulada «Matriz de roles → hubs»La tabla recoge los perfiles de acceso concedidos a los roles canónicos y a los principales roles extendidos (valores predeterminados de la plataforma; un tenant puede modificarlos mediante overrides).
| Rol | Perfiles de acceso (tiles) |
|---|---|
| Administrator | Todos los hubs operativos + GADM, HRADM, dirección (superadministrador) |
| System Admin (sadmin) | Todos los perfiles (ACL_ALL) |
| Senior Director | Todos los perfiles (ACL_ALL) |
| Service Director | Todos los perfiles (ACL_ALL) |
| Director | NOC, SOC, XDR, ICC, GRC, OPS, HR, DIR, MGR, HRMGR, HRREC, HRHUB, EXEC, OPSDASH |
| IT Manager / IT Admin | Todos los perfiles (ACL_ALL) |
| ITSM Manager | DIR, MGR, HRMGR, HRREC, HRHUB (+ gestión del servicio de TI) |
| NOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, NOC |
| SOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, SOC |
| XDR Manager | DIR, MGR, HRMGR, HRREC, HRHUB, XDR |
| ICC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, ICC |
| GRC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, GRC |
| OPS Manager / L1 Manager | DIR, MGR, HRMGR, HRREC, HRHUB, OPS |
| Manager / Line Manager | DIR, MGR, HRMGR, HRREC, HRHUB (gestión de personas) |
| L1 Operator | ITHUB, OPS, LOGINSP (triaje L1) |
| L2 Operator | ITHUB, OPS, LOGINSP (escalado L2) |
| L3 Operator | ITHUB, OPS, LOGINSP (experto L3) |
| NOC Operator | ITHUB, OPS, LOGINSP, NOC |
| SOC Operator | ITHUB, OPS, LOGINSP, SOC |
| XDR Operator | ITHUB, OPS, LOGINSP, XDR |
| ICC Operator | ITHUB, OPS, LOGINSP, ICC |
| GRC Operator | ITHUB, OPS, LOGINSP, GRC |
| HR Director | HR, HRMGR, HRREC, HRHUB, HRADM, DIR |
| HR Manager / HR Admin | HR, HRMGR, HRREC, HRHUB, HRADM |
| HR Specialist / HR Operator / Recruiter | HR, HRREC, HRHUB, HRADM |
| PMO Manager | SMD, MGR, DIR |
| Sales Account Manager | DIR, MGR, OPSDASH |
| Sales Director | EXEC, DIR, OPSDASH |
| Finance Manager / Controller / Treasurer | DIR, OPSDASH |
Fichas funcionales por rol
Sección titulada «Fichas funcionales por rol»A continuación, para los roles principales, qué ve y qué puede hacer en concreto.
Operador L1 (L1 Operator)
Sección titulada «Operador L1 (L1 Operator)»- Ve: Hub de TI, cola del Service Desk, KB, sus propios tickets asignados.
- Hace: triaje de los tickets entrantes, asignación, primer diagnóstico con ayuda de la KB y del AI Copilot, apertura de tickets con el Composer, actualizaciones y comentarios, escalado a L2. Usa intensivamente el editor de tickets (Editor de tickets).
- No hace: configuraciones, aprobaciones de cambios/RR. HH., acceso a los casos confidenciales.
Operador L2 / L3
Sección titulada «Operador L2 / L3»- Ve: lo mismo que L1, además de las herramientas de análisis en profundidad (Issue Inspector, notas internas, consola PAM sobre los CI).
- Hace: gestión de los escalados, análisis técnico, resolución; el L3 actúa como experto del dominio y contribuye a Problem/Known Error y a la KB.
Operadores de dominio (NOC / SOC / XDR / ICC / GRC)
Sección titulada «Operadores de dominio (NOC / SOC / XDR / ICC / GRC)»- Ve: los hubs base (TI/OPS) más su propio dominio.
- Hace: trabaja las colas específicas del dominio (alertas NOC, alertas/incidentes SOC, correlaciones XDR, solicitudes ICC, controles GRC), con las herramientas y los tipos de ticket dedicados.
Operador de RR. HH. / Recruiter / HR Specialist
Sección titulada «Operador de RR. HH. / Recruiter / HR Specialist»- Ve: Hub de RR. HH., HR Workspace, selección, administración de RR. HH.
- Hace: trabaja los expedientes de RR. HH. en la Inbox de gestión (HR Workspace, la Inbox de gestión), hace avanzar los procesos, gestiona campañas documentales y selección; el recruiter gestiona el pipeline de candidatos y el banco de CV.
- No hace (salvo permiso): casos confidenciales (disciplinarios/acoso/ética), datos retributivos sensibles — reservados a los roles HR Manager/Director.
Responsables de dominio (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)
Sección titulada «Responsables de dominio (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)»- Ve: las vistas de gestión y dirección de servicio (DIR/MGR) y su propio dominio.
- Hace: gobierno de las colas y de los equipos, aprobaciones (p. ej., CAB para el ITSM Manager), seguimiento de SLA y productividad, gestión de escalados y Major Incidents.
HR Manager / HR Director
Sección titulada «HR Manager / HR Director»- Ve: todo el Hub de RR. HH., la gestión (HRMGR), la administración (HRADM); el HR Director, también las vistas de dirección (DIR).
- Hace: aprobaciones de RR. HH., gestión de los casos confidenciales y de los datos retributivos, configuración de RR. HH. (procesos, plantillas, catálogos, campañas), organización y planificación de la plantilla.
Service Director / Senior Director / Director
Sección titulada «Service Director / Senior Director / Director»- Ve: las vistas de dirección de todos (o casi todos) los dominios, los cockpits, el Operations Dashboard; el Service Director y el Senior Director tienen visibilidad completa (
ACL_ALL). - Hace: supervisión multiservicio, lectura de los KPI agregados, análisis en detalle, gobierno de los escalados de dirección; no se ocupa de la configuración de la plataforma (que corresponde a los administradores) salvo que tenga un rol combinado.
Executive / CISO (Executive Cockpit)
Sección titulada «Executive / CISO (Executive Cockpit)»- Ve: el Executive Cockpit (EXEC) y el Operations Dashboard: KPI de alto nivel de servicio, seguridad, riesgo y finanzas.
- Hace: lectura estratégica y análisis en detalle; ninguna operativa de detalle.
Roles comerciales y financieros
Sección titulada «Roles comerciales y financieros»- Sales Account Manager / Sales Director: vistas de dirección y dashboards operativos (DIR/MGR/OPSDASH; el account manager, sobre sus propios clientes); el Sales Director accede al Executive Cockpit.
- Finance Manager / Controller / Treasurer / Accounts Receivable: dashboards de dirección y operativos (DIR/OPSDASH) para los datos económicos (márgenes, facturación PSA).
PMO Manager
Sección titulada «PMO Manager»- Ve: Service Manager Director (SMD), vistas de gestión y dirección (MGR/DIR).
- Hace: gobierno de proyectos y portfolio (PSA/SPM), coordinación de los recursos.
System Admin (sadmin) / IT Admin / Administrator
Sección titulada «System Admin (sadmin) / IT Admin / Administrator»- Ve: todo, incluido el launcher Configuración (CFG) y la administración global (GADM/HRADM).
- Hace: configuración completa de la plataforma (Flow Engine, automatizaciones, enrutamiento, notificaciones, workflows, catálogos), gestión de usuarios/equipos/roles, sistema, integraciones e importaciones. Es el rol con los privilegios más amplios: las acciones más sensibles (cambios masivos, purgas, ejecución de scripts SecOps) siguen protegidas por barreras y confirmaciones.