Una vez, fui a hacer el trámite para recibir un lote de mercancía.
El responsable de ese día se ausentó de forma repentina.
Otro hombre salió hacia el mostrador, revisó los documentos y firmó la confirmación para que la mercancía saliera del almacén.
Todo transcurrió con total normalidad.
Pero después me enteré de que lo que la empresa le importa no es quién es él.
Y al momento de firmar, ¿él estaba realmente representando el rol correcto, el que está autorizado para tomar esa decisión?
Suena igual.
Pero en realidad son dos preguntas totalmente distintas.
Solemos pensar que un sistema solo necesita saber la identidad de la persona que está operando.
Verificado.
Conozco a la persona correcta.
Con eso basta.
Después, recién me di cuenta de que la identidad solo puede responder: “quién está de pie frente al sistema”.
Todavía no podía responder “bajo qué calidad se está tomando esta decisión”.
Eso me hizo pensar bastante al leer sobre @NewtonProtocol.
Lo interesante que veo no está en que la política solo verifique una identidad.
Y que una ejecución no solo lleva el nombre de quien la realiza.
También trae consigo el rol, el alcance y la calidad que esa ejecución está representando.
Esa es la diferencia que me parece digna de reflexión.
La misma persona.
Pero cuando se representa a roles diferentes, el significado de una misma ejecución puede cambiar por completo.
En ese momento, lo que la política debe evaluar ya no es simplemente “la persona correcta”.
Es decir, si esta ejecución realmente se está realizando con el estatus correcto que el sistema acepta.
Auto-refutar.
Si todas las decisiones dependieran solo de la identidad, el sistema sería muy fácil que pasara por alto la diferencia entre un ser humano y el rol que está representando en el momento de la ejecución.
Pero si solo miras el rol e ignoras la identidad, la responsabilidad personal también se vuelve borrosa.
Quizá esas dos cosas nunca hayan sido una alternativa para la otra.
Lo que quiero ver desde @NewtonProtocol no es solo la capacidad de verificar una identidad.
Sino la manera en que la política entiende bajo qué calidad se está realizando la ejecución, en lugar de dar por hecho que conocer la identidad del ejecutor es suficiente para tomar una decisión.
Para mí, una capa de autorización confiable no solo sabe quién está solicitando la ejecución.
También tiene que entender qué representa esa ejecución.
