Hay reglas generales de seguridad, pero a cada documento también se le da la palabra

Con Arquitectura de Información se diseñan reglas sobre tipos de documentos
 y comunidades. Pero cada instancia especifica de un tipo de objeto de
 información,  es decir,  cada documento concreto, tiene el derecho a convertirse
en una excepción.

Seguridad en tipos de documentos y en instancias de un tipo de documento. ¿Quién puede modificar qué? Continuando con las interesantes conversaciones acerca de la seguridad informacional hoy queremos analizar un poco más en detalle los elementos que intervienen en el cómo se toma la decisión de si el acceso a un documento se deja al alcance del usuario. Como veremos, las reglas generales cuentan, pero también lo que en específico dice el documento mismo acerca de quien puede acceder a su contenido, más allá del hecho que en un sistema o solución de gestión hay unas reglas generales para el acceso a cada tipo de documento, donde se toman en cuenta los perfiles de las distintas comunidades de usuarios y las características del tipo de documento en cuestión.

Como hemos estado viendo en las oportunidades anteriores, no hay una receta universal, sino orientaciones útiles a la hora de modelar sistemas de información. Los modelos no sólo tienen que permitir representar la realidad, también tienen que ser lo más simple posibles para que sean prácticos, entendibles por sus usuarios. Por eso se comienza siempre con unas reglas generales y simples que se van sofisticando a través de las iteraciones de diseño. Cada vez que se va a introducir un nuevo concepto o una nueva regla tenemos que revisar si ésta es necesaria o se puede vivir sin ella, porque mientras más simples sean los modelos de información que construyamos, más fácil será su mantenimiento.

Como hemos visto se comienza por establecer la estructura de cada tipo de documento y luego su funcionalidad. Luego se analizan la relación que ese tipo de documento tiene con cada comunidad de usuarios y se establece entonces lo que cada comunidad debe poder hacer con los documentos de ese tipo. Para atender a las personas que tiene varios perfiles o pertenecen a varias comunidades se define el modelo de seguridad con el que se trabaja (Ver: Seguridad informacional cuando se tienen varios perfiles). Todavía puede ser que hablar de modificación sea muy general y necesitemos introducir diferencias en los contextos lo que nos lleva a la necesidad de definir servicios de ingreso y modificación, como vimos la semana pasada ( Ver: El contexto del ingreso y la modificación de documentos y la seguridad informacional ).

Hablando precisamente de aspectos más sofisticados de la seguridad, vemos entonce que el acceso a un documento en específico puede depender de la conjunción de varios factores. Uno de ellos es el de si la comunidad a la que pertenece un usuario está autorizada o no para consultar o editar un documento de ese tipo, o en un sentido más general, si el modelo de seguridad y los perfiles que posee el usuario nos permiten considerar el acceso de éste a un documento de un cierto tipo.

Pero el cuento no acaba allí. El propio documento puede decir que, aunque en general este tipo de documento puede ser consultado por la comunidad de usuarios a la que pertenece su creador (o de acuerdo a las reglas del modelo de seguridad con el que se está trabajando), en particular, el creador del documento ha preferido mantenerlo aún de acceso restringido.

También puede haber una especificación en un sentido contrario: Aunque un documento de este tipo podría ser consultado solamente por su creador o sólo por la comunidad a la que éste pertenece, por ejemplo, el creador, ha decidido permitir su consulta pública por todos los usuarios.

Así pues, una cosa son las reglas generales y otra las específicas de una instancia de un tipo de documento, lo que al final determina qué se puede hacer con un documento en particular. La Arquitectura de información establece reglas, pero en el uso, a los documentos se les da la palabra.