Gestionar quién accede a qué información, cuándo y cómo es uno de los retos más exigentes al implementar un sistema de gestión de seguridad de la información. Los controles de acceso y la criptografía dentro del anexo A de la norma ISO 27001 ofrecen un catálogo robusto que toda organización debe evaluar para proteger sus activos. A continuación se desglosan los puntos más relevantes para que puedas aplicarlos de forma práctica.
¿Por qué necesitas una política de control de acceso?
Antes de realizar cualquier trabajo operativo, la norma exige definir lineamientos claros a través de una política de control de acceso [01:00]. En ella se especifican:
- Los tipos de conexión que requiere cada usuario.
- La periodicidad con la que se revisarán los permisos otorgados.
- Los horarios en los que la conexión está permitida y en los que no.
Esta política sienta la base sobre la cual se rigen todos los procesos posteriores. Además, se debe definir el acceso a la red y servicios de red [01:35], identificando en qué segmentos de red pueden operar los usuarios, incluyendo a aquellos con privilegios avanzados como administradores o usuarios técnicos.
¿Qué responsabilidad tiene el usuario sobre su autenticación?
El control 9.3 establece el uso de la información secreta de autenticación [02:05]. Cada usuario debe entender que su contraseña es exclusiva e intransferible. Compartir credenciales es una mala práctica que la norma prohíbe de forma explícita.
Cuando un funcionario se va de vacaciones, su usuario debe desactivarse temporalmente [02:30]. No está permitido dejarlo activo para que otro compañero lo utilice. El funcionario que lo reemplaza debe heredar los permisos de forma provisional con su propio acceso.
¿Cómo gestionar el ciclo de vida de un usuario?
El catálogo de gestión de acceso al usuario contempla seis controles fundamentales [02:55]:
- Registro y baja de usuario: define cómo se crea el usuario al ingresar a la compañía y cómo se desactiva al retirarse, idealmente mediante un proceso automatizado que reduzca errores.
- Provisión oportuna del acceso: no debe pasar que un funcionario recién contratado espere días o semanas sin acceso al sistema [03:30]. Se requieren acuerdos operativos entre gestión humana y tecnología.
- Matriz de roles y funcionalidades: cada sistema de información debe clasificarse en una sola matriz que identifique qué funcionalidades están disponibles y qué roles acceden a cada una [03:55]. Esta matriz evoluciona con cada nueva versión del sistema.
¿Qué es el principio del menor privilegio y cómo aplicarlo?
Uno de los conceptos más importantes es el principio del menor privilegio [05:15]. Consiste en entregar al usuario solo los permisos mínimos necesarios para realizar sus funciones. Es preferible ir añadiendo funcionalidades gradualmente que otorgar acceso total y luego tener que restringir.
El riesgo de no aplicarlo es real: aunque un usuario diga que nunca consulta cierta funcionalidad, el simple hecho de poder acceder a reportes confidenciales o módulos de parametrización deja una puerta abierta que representa un problema serio ante la norma [05:50].
¿Qué controles técnicos refuerzan el acceso seguro?
La norma también aborda aspectos técnicos que deben alinearse con el equipo de desarrollo de software [06:20]:
- Restricción del acceso a la información: se apoya en la clasificación previa de activos para determinar qué datos puede ver cada usuario.
- Sesiones concurrentes: no está permitido que un mismo usuario esté autenticado en múltiples equipos simultáneamente [06:50].
- Sistema de gestión de contraseñas: contempla longitud mínima de ocho caracteres, combinación de caracteres alfanuméricos y especiales, no repetir historial y definir ciclos de cambio [07:10].
- Escalamiento de privilegios: se debe certificar que ningún usuario pueda, desde su perfil, acceder a funcionalidades de mayor nivel [07:40].
- Control de acceso al código fuente: dependiendo del nicho del negocio, el código fuente puede catalogarse como altamente confidencial (en casas de desarrollo de software) o confidencial (en entidades bancarias con equipos internos de desarrollo) [08:00].
¿Cómo aborda la ISO 27001 la criptografía?
La criptografía se resume en dos controles esenciales [08:30]:
- Política de uso de controles criptográficos: define el lineamiento base sobre cómo se manejarán las claves y quién las custodia.
- Gestión de claves criptográficas: establece quién tiene acceso a las claves con las que se realiza el intercambio de información entre entidades.
La custodia puede recaer en el oficial de seguridad y no necesariamente en el gerente de tecnología [08:50]. Si las claves son impresas, deben almacenarse en una caja fuerte o cajonera con llave. Cuantas más medidas se implementen, más protegida estará la información.
Ahora que conoces el detalle de estos controles, comparte en los comentarios cuáles seleccionarías para tu organización, cuáles consideras más difíciles de implementar o por cuáles empezarías a trabajar.
