Política de Gestión de Acceso Privilegiado
1. Propósito
Establecer requisitos para gestionar, monitorear y controlar el acceso privilegiado a los sistemas y datos críticos de [ORGANIZATION] para minimizar el riesgo de acceso no autorizado y amenazas internas.
2. Alcance
Esta política se aplica a todas las cuentas con privilegios elevados, incluyendo administradores de sistemas, administradores de bases de datos, administradores de red, administradores de nube, administradores de aplicaciones y cualquier otra cuenta con acceso superior a los permisos estándar de usuario.
3. Política
3.1 Gobernanza de Cuentas Privilegiadas
Se deberá mantener un inventario de todas las cuentas privilegiadas y revisarse al menos [PERSONALIZAR: trimestralmente], incluyendo: nombre de cuenta, sistema/aplicación, nivel de privilegio, propietario asignado, justificación empresarial y fecha de última revisión.
El acceso privilegiado deberá otorgarse basándose en el principio de mínimo privilegio, proporcionando solo los permisos mínimos necesarios para realizar las funciones asignadas.
La separación de funciones deberá aplicarse para prevenir que un solo individuo tenga acceso privilegiado conflictivo (por ejemplo, crear y aprobar, desarrollar e implementar en producción).
El acceso privilegiado deberá requerir una justificación empresarial documentada y aprobación de [PERSONALIZAR: CISO/Director de TI/Gerente de segundo nivel].
3.2 Controles de Acceso Privilegiado
Se deberán implementar herramientas de gestión de acceso privilegiado (PAM) para custodiar, rotar y monitorear todas las credenciales privilegiadas.
Las sesiones privilegiadas deberán grabarse y los registros retenerse durante al menos [PERSONALIZAR: 1 año/2 años] con fines forenses y de auditoría.
El acceso privilegiado justo a tiempo (JIT) deberá implementarse cuando sea técnicamente factible, con permisos elevados revocados automáticamente después de [PERSONALIZAR: 4/8/24] horas o la finalización de la tarea.
El inicio de sesión directo con cuentas privilegiadas estará prohibido. Los administradores deberán autenticarse con su cuenta estándar y elevar privilegios a través de mecanismos aprobados (sudo, PAM, etc.).
El acceso privilegiado desde redes o dispositivos no confiables está prohibido sin VPN y MFA.
3.3 Estaciones de Trabajo Administrativas
Las actividades administrativas en sistemas críticos deberán realizarse desde estaciones de trabajo administrativas dedicadas y endurecidas (estaciones de trabajo de acceso privilegiado) cuando sea factible.
Las estaciones de trabajo administrativas no deberán utilizarse para correo electrónico, navegación web u otras actividades estándar de usuario.
Las estaciones de trabajo administrativas deberán estar en un segmento de red separado y restringido con monitoreo mejorado.
3.4 Acceso de Emergencia
Los procedimientos de acceso de emergencia (break-glass) deberán documentarse para sistemas críticos, permitiendo acceso autorizado cuando los mecanismos normales de acceso privilegiado no estén disponibles.
Las credenciales de acceso de emergencia deberán almacenarse de forma segura (por ejemplo, sobre sellado en una caja fuerte, bóveda de contraseñas cifrada) con autorización de dos personas requerida para el acceso.
Todo uso de acceso de emergencia deberá registrarse, revisarse dentro de [PERSONALIZAR: 24/48] horas por [PERSONALIZAR: CISO/Director de TI] y documentarse con justificación.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos