Los pasos
- Elegir los sistemas: empezar por los que guardan datos sensibles y por los derechos de administración.
- Exportar las cuentas y los derechos actuales desde el propio sistema.
- Enviar a cada responsable o propietario del sistema la lista que debe revisar.
- Hacer que mantenga, cambie o elimine cada entrada.
- Aplicar las eliminaciones y comprobar que se han hecho.
- Conservar las evidencias: la lista, las decisiones y los cambios.
Con qué frecuencia
La frecuencia sigue al riesgo: trimestral es habitual para los accesos privilegiados y los sistemas críticos, y cada seis a doce meses para el resto. Decida lo que decida, escríbalo en su política y cúmplalo.
Lo que se les escapa a los revisores
- Bajas y traslados cuyos accesos nunca se retiraron.
- Cuentas de servicio sin propietario.
- Derechos concedidos directamente, fuera del modelo de roles.
- Revisores que lo aprueban todo: muestree sus decisiones.
Lo que dicen las normas
El control 5.18 del anexo A de la ISO/IEC 27001:2022 cubre los derechos de acceso, incluida su revisión. El requisito 7 de PCI DSS y la HIPAA Security Rule también exigen gestionar y revisar los accesos.
Preguntas
- ¿Quién debe revisar los accesos?
- Alguien que conozca la necesidad: el responsable de la persona o el propietario del sistema, no solo quien administra el sistema.
- ¿Qué evidencias quieren los auditores?
- Una lista completa sacada del sistema, las decisiones fechadas del revisor y la prueba de que las eliminaciones se llevaron a cabo.