Establecer y Mantener un Inventario de Sistemas de Autenticación y Autorización
Descripción
Establecer y mantener un inventario de los sistemas de autenticación y autorización de la empresa, incluyendo los alojados en el sitio o en un proveedor de servicios remoto. Revisar y actualizar el inventario, como mínimo, anualmente o con mayor frecuencia.
Lista de Verificación de Implementación
Herramientas Recomendadas
Gestión de identidad y acceso en la nube con SSO, MFA, acceso condicional y gobernanza de identidad
Microsoft · Suscripción por usuario (P1/P2)
Plataforma de identidad en la nube que proporciona SSO, MFA adaptativo, gestión del ciclo de vida y gestión de acceso a API
Okta · Suscripción por usuario
Plataforma de seguridad de identidad empresarial con SSO, MFA, directorio y seguridad de API para identidad de fuerza laboral y clientes
Ping Identity (Thales) · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Compromiso No Descubierto del Sistema de Autenticación
ConfidencialidadUn sistema de autenticación no incluido en el inventario es comprometido, pero la brecha pasa desapercibida porque el sistema no es monitoreado, parcheado ni incluido en las revisiones de seguridad.
Políticas de Seguridad Inconsistentes en Sistemas de Autenticación Desconocidos
IntegridadLos sistemas de autenticación no rastreados en el inventario operan con diferentes políticas de seguridad, creando eslabones débiles que los atacantes apuntan para el acceso inicial.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Inventario de Sistemas de Autenticación y Autorización
Sin un inventario mantenido, la organización no conoce todos los sistemas que autentican o autorizan usuarios, dejando algunos no gestionados y potencialmente mal configurados.
Proveedores de Identidad No Gestionados
Los sistemas de autenticación no capturados en el inventario son excluidos de los procesos de refuerzo de seguridad, monitoreo y respuesta a incidentes, creando puntos ciegos en la seguridad de identidad.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación del inventario o catálogo actual | Mantenido continuamente, revisado trimestralmente |
| Documento | Documentación de procesos/procedimientos para actividades de identificación | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |