OP.EXP.2 Configuración de seguridad

Documentos de referencia

• Guías CCN-STIC:
  • Serie CCN-STIC-500 - Guías para Entornos Windows
  • Serie CCN-STIC-600 - Guías para otros Entornos
  • Guía CCN-STIC-824 - Informe del Estado de Seguridad
  • Guía CCN-STIC-827 - Gestión y uso de dispositivos móviles
• ISO/IEC 27000
• NIST SP 800-53 rev4:
  • [CM-2] Baseline Configuration
  • [CM-6] Configuration Settings
  • [CM-7] Least Functionality
  • [SI-5] Security Alerts, Advisories, and Directives
• Otras referencias:
  • SANS - CIS Critical Security Controls - Version 6.1
    • CSC.3 - Secure Configurations for Hardware and Software
    • CSC.9 - Limitation and Control of Network Ports
    • CSC.18 - Application Software Security
    • FDCC - Federal Desktop Core Configuration http://nvd.nist.gov/fdcc/index.cfm
  • USGCB - The United States Government Configuration Baseline http://usgcb.nist.gov/
  • Manageable Network Plan
    • Milestone 7: Manage Your Network, Part II (Baseline Management)

Guía de implantación

187. Todos los sistemas deben ser configurados de forma sistemática antes de entrar en producción. El organismo debe elaborar unos pocos perfiles de configuración para las diferentes actividades a que pueden ser dedicados, siendo típicos los siguientes:

• usuarios normales (uso administrativo)
• atención a clientes
• gestión de proveedores (incluidos bancos)
• desarrollo
• operadores y administradores (técnicos de sistemas)
• responsable de seguridad (consola de configuración)
• auditoría

188. La medida se instrumenta por medio de una lista de verificación (checklists) que se debe aplicar sistemáticamente a cada equipo antes de entrar en producción.

189. En todos los perfiles de usuario, excepto en los de administrador, se debe bloquear la opción de que éste pueda cambiar la configuración del sistema o pueda instalar nuevos programas o nuevos periféricos (drivers).

190. La configuración de seguridad debe incluir un perfil básico de auditoría de uso del equipo.