Idea principal

"Quiero saber quién se conecta a la aplicación." Leída como una petición funcional, la frase es escasa: un registro de accesos, nada espectacular.

A menudo lleva dentro algo muy distinto. Detrás pueden estar una auditoría ISO, una política de seguridad, un equipo de ciberseguridad, un SIEM central, un procedimiento de investigación — o sencillamente una cultura de empresa en la que cada acceso debe ser trazable.

La misma lectura vale para las peticiones vecinas: usar el IAM del cliente, sus claves de cifrado, su contrato con el proveedor de modelos, su pasarela de correo. Parecen dispares y cuentan lo mismo.

Por qué es importante

Tratadas como exigencias técnicas, estas peticiones se juzgan por su coste de desarrollo, y suele concluirse que no crean ningún valor de negocio. Ese juicio es acertado y no viene al caso.

Leídas como la expresión de una gobernanza, se juzgan de otro modo: no "¿qué aporta esto al producto?", sino "¿qué le permite aceptar esto a esta organización?".

Matices y límites

No todas responden a la cultura: algunas son verdaderas obligaciones regulatorias, otras simples preferencias de equipo. El trabajo consiste precisamente en no confundirlas.

Y la cultura de una gran cuenta no es homogénea: lo que pide seguridad y lo que pide la dirección de negocio pueden oponerse.

Preguntas abiertas

• ¿Cómo distinguir, al leer una petición, la obligación regulatoria de la costumbre organizativa?