5.6
IG2 IG3

Centralizar la Gestión de Cuentas

Grupo de Control: 5. Gestión de Cuentas
Tipo de Activo: Usuarios
Función de Seguridad: Proteger

Descripción

Centralizar la gestión de cuentas a través de un directorio o servicio de identidad.

Lista de Verificación de Implementación

1
Evaluar los controles de protección actualmente implementados
2
Configurar e implementar los controles de seguridad requeridos
3
Probar la efectividad de los controles en un entorno de no producción
4
Implementar en producción y verificar la funcionalidad
5
Documentar la configuración y los procedimientos operativos
6
Seleccionar la plataforma de gestión centralizada
7
Integrar todos los sistemas y fuentes de datos dentro del alcance
8
Configurar los paneles de control y la generación de reportes

Amenazas y Vulnerabilidades (CIS RAM)

Escenarios de Amenazas

Políticas de Cuenta Inconsistentes en Sistemas Descentralizados

Confidencialidad

Las cuentas locales en sistemas individuales evaden las políticas de seguridad centralizadas como la complejidad de contraseñas, los umbrales de bloqueo y los requisitos de MFA, creando puntos de acceso débiles.

Cuentas Locales No Gestionadas como Puertas Traseras Persistentes

Integridad

Los atacantes crean cuentas locales en sistemas comprometidos que existen fuera de los servicios de directorio centralizados, estableciendo persistencia que sobrevive a los restablecimientos de contraseña a nivel de directorio.

Vulnerabilidades (Cuando la Salvaguarda está Ausente)

Gestión de Cuentas Descentralizada

Sin gestión centralizada de cuentas a través de un servicio de directorio, las cuentas se gestionan independientemente en cada sistema con políticas de seguridad inconsistentes y sin visibilidad unificada.

Sin Fuente Única de Verdad para la Identidad

Sin un servicio de identidad centralizado, el aprovisionamiento de usuarios, el desaprovisionamiento y las revisiones de acceso deben realizarse sistema por sistema, lo que lleva a errores y acceso huérfano.

Requisitos de Evidencia

Tipo Elemento de Evidencia Frecuencia de Recolección
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente