Requerir MFA para Acceso Administrativo
Descripción
Requerir MFA para todas las cuentas de acceso administrativo, donde sea soportado, en todos los activos empresariales, ya sean gestionados en el sitio o a través de un proveedor externo.
Lista de Verificación de Implementación
Herramientas Recomendadas
Gestión de identidad y acceso en la nube con SSO, MFA, acceso condicional y gobernanza de identidad
Microsoft · Suscripción por usuario (P1/P2)
Plataforma de identidad en la nube que proporciona SSO, MFA adaptativo, gestión del ciclo de vida y gestión de acceso a API
Okta · Suscripción por usuario
Plataforma de autenticación multifactor y acceso de confianza cero con confianza de dispositivos y políticas de acceso adaptativo
Cisco · Suscripción por usuario
Plataforma de seguridad de identidad empresarial con SSO, MFA, directorio y seguridad de API para identidad de fuerza laboral y clientes
Ping Identity (Thales) · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Compromiso de Credenciales de Administrador que Lleva a la Toma Total del Dominio
ConfidencialidadUn atacante obtiene credenciales de administrador a través de phishing, keylogging o robo de hash y obtiene acceso administrativo irrestricto porque ningún segundo factor protege las cuentas privilegiadas.
Escalación de Privilegios mediante Contraseña de Administrador Robada
IntegridadUn atacante escala de un compromiso estándar a control administrativo completo usando una contraseña de administrador robada, ya que no se requiere MFA para el acceso administrativo a ningún sistema empresarial.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin MFA en Cuentas Administrativas
Las cuentas administrativas protegidas solo por contraseñas representan los objetivos de mayor valor y menor resistencia; una sola contraseña comprometida otorga control completo del sistema.
Portales de Administración de Terceros Sin MFA
El acceso administrativo a servicios en la nube, plataformas SaaS y portales de proveedores de servicios gestionados carece de MFA, permitiendo la toma administrativa remota con credenciales robadas.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Técnico | Estado de inscripción de MFA y configuración de aplicación | Revisado mensualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |