Establecer y Mantener un Inventario de Cuentas de Servicio
Descripción
Establecer y mantener un inventario de cuentas de servicio. El inventario, como mínimo, debe contener el propietario del departamento, fecha de revisión y propósito. Realizar revisiones de cuentas de servicio para validar que todas las cuentas activas estén autorizadas, en un cronograma recurrente al menos trimestralmente o con mayor frecuencia.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gobernanza y administración de identidad con certificación de acceso, gestión del ciclo de vida e inteligencia de acceso impulsada por IA
SailPoint · Suscripción por identidad
Gestión de identidad y acceso en la nube con SSO, MFA, acceso condicional y gobernanza de identidad
Microsoft · Suscripción por usuario (P1/P2)
Plataforma de identidad en la nube que proporciona SSO, MFA adaptativo, gestión del ciclo de vida y gestión de acceso a API
Okta · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Abuso de Credenciales de Cuentas de Servicio para Acceso Persistente
ConfidencialidadLos atacantes descubren y comprometen cuentas de servicio no rastreadas con contraseñas estáticas y privilegios elevados, usándolas para acceso persistente y sigiloso que sobrevive a los restablecimientos de contraseña de usuarios.
Explotación de Cuentas de Servicio Huérfanas
IntegridadLas cuentas de servicio creadas para aplicaciones dadas de baja permanecen activas con permisos amplios, proporcionando a los atacantes rutas de acceso con altos privilegios que nadie monitorea ni revisa.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Inventario de Cuentas de Servicio
Sin un inventario mantenido de cuentas de servicio, la organización no sabe cuántas cuentas de servicio existen, a qué pueden acceder o si siguen siendo necesarias.
Cuentas de Servicio Sin Propiedad ni Revisión Definidas
Sin propietarios documentados y revisiones recurrentes, las cuentas de servicio operan indefinidamente sin que nadie verifique su autorización, alcance de acceso o necesidad continua.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación del inventario o catálogo actual | Mantenido continuamente, revisado trimestralmente |
| Documento | Documentación de procesos/procedimientos para actividades de identificación | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |