Establecer un Proceso de Otorgamiento de Acceso
Descripción
Establecer y seguir un proceso, preferiblemente automatizado, para otorgar acceso a activos empresariales al momento de una nueva contratación, otorgamiento de derechos o cambio de rol de un usuario.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gobernanza y administración de identidad con certificación de acceso, gestión del ciclo de vida e inteligencia de acceso impulsada por IA
SailPoint · Suscripción por identidad
Gestión de identidad y acceso en la nube con SSO, MFA, acceso condicional y gobernanza de identidad
Microsoft · Suscripción por usuario (P1/P2)
Plataforma de identidad en la nube que proporciona SSO, MFA adaptativo, gestión del ciclo de vida y gestión de acceso a API
Okta · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Acceso Excesivo Otorgado a Nuevos Empleados
ConfidencialidadSin un proceso formal de otorgamiento, los nuevos empleados reciben acceso clonando los permisos de otro usuario, heredando privilegios innecesarios acumulados a través de los cambios de rol de ese usuario.
Acceso No Autorizado Durante Transiciones de Rol
ConfidencialidadLos usuarios que cambian de rol acumulan acceso tanto de posiciones anteriores como nuevas porque ningún proceso estructurado asegura que el acceso previo sea revisado cuando se otorga nuevo acceso.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Proceso Formal de Otorgamiento de Acceso
Sin un proceso definido para otorgar acceso, las decisiones de aprovisionamiento son ad hoc, inconsistentes y no están vinculadas a necesidades comerciales verificadas, lo que lleva al sobreaprovisionamiento.
Sin Flujo de Trabajo de Aprobación para Solicitudes de Acceso
Sin un proceso estructurado de aprobación, el acceso se otorga basándose en solicitudes informales sin autorización de la gerencia ni documentación de la justificación comercial.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |