Los roles con permisos financieros exigen autenticación en dos pasos (MFA). La impersonación de soporte usa enlaces de un solo uso que caducan en segundos, y cada una queda en la bitácora de auditoría.