OP.AAC.2 Requisitos de acceso
Guía de implantación
-
Es necesario que tanto los sistemas en producción como los previos a su puesta en explotación cuenten con un mecanismo de control de acceso, basado en el identificador asignado a cada entidad (usuario o proceso) y un mecanismo de autenticación.
-
Para definir este control de accesos, debe definirse un documento o matriz donde se especifique cuáles son los componentes del sistema y sus ficheros o registros de configuración y se relacionen con los diferentes permisos de usuario, de manera que únicamente puedan acceder a los recursos los usuarios autorizados.
-
Será el responsable de cada información o servicio, quien especifique los derechos de acceso a los mismos, responsabilizándose de la asignación de autorización y nivel de acceso al mismo.
Documentos de referencia
- Guías CCN-STIC: - Serie CCN-STIC-500 - Guías para Entornos Windows - Serie CCN-STIC-600 - Guías para otros Entornos - Guía CCN-STIC-827 - Gestión y uso de dispositivos móviles
- ISO/IEC 27000 - ISO/IEC 27002:2013: - 9.1.1 - Política de control de acceso - 9.1.2 - Acceso a redes y servicios en red - 9.4.1 - Restricción del acceso a la información - 9.4.4 - Uso de los recursos del sistema con privilegios especiales - 9.4.5 - Control de acceso al código fuente de los programas
- NIST SP 800-53 rev. 4
- [AC-3] Access Enforcement
- [AC-4] Information Flow Enforcement
- [AC-6] Least Privilege
- [AC-24] Access Control Decisions
- [CM-5] Access Restrictions for Change
- [MP-2] Media Access
- Otras referencias:
- Manageable Network Plan
- Milestone 5: Control Your Network (User Access)