Centralizar el Control de Acceso
Descripción
Centralizar el control de acceso para todos los activos empresariales a través de un servicio de directorio o proveedor SSO, donde sea soportado.
Lista de Verificación de Implementación
Herramientas Recomendadas
Gestión de identidad y acceso en la nube con SSO, MFA, acceso condicional y gobernanza de identidad
Microsoft · Suscripción por usuario (P1/P2)
Plataforma de identidad en la nube que proporciona SSO, MFA adaptativo, gestión del ciclo de vida y gestión de acceso a API
Okta · Suscripción por usuario
Plataforma de seguridad de identidad empresarial con SSO, MFA, directorio y seguridad de API para identidad de fuerza laboral y clientes
Ping Identity (Thales) · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Controles de Acceso Inconsistentes Explotados entre Sistemas
ConfidencialidadSin control de acceso centralizado, diferentes sistemas aplican diferentes políticas; los atacantes apuntan al sistema con la autenticación más débil para obtener acceso inicial.
Incapacidad para Aplicar Políticas de Acceso a Nivel Empresarial
IntegridadEl control de acceso descentralizado impide la aplicación consistente de acceso condicional, restricciones geográficas o autenticación basada en riesgo en todas las aplicaciones empresariales.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Control de Acceso Descentralizado Sin SSO
Sin control de acceso centralizado vía servicio de directorio o SSO, cada aplicación gestiona su propia autenticación independientemente, creando una aplicación de seguridad inconsistente.
Sin Visibilidad Unificada de Eventos de Acceso
El control de acceso descentralizado significa que los eventos de autenticación están dispersos en sistemas individuales, haciendo imposible detectar ataques coordinados o patrones de acceso anómalos.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |