OP.ACC.6 Acceso local
Finalidad
Este documento define los controles para el acceso local al sistema de información conforme al control OP.ACC.6 del Anexo II del Real Decreto 311/2022, aplicable a un sistema de categoría ALTO. El acceso local se refiere a las conexiones realizadas desde estaciones de trabajo y dispositivos dentro de la red de la organización.
Controles de acceso local
La organización aplica las siguientes medidas para el acceso local:
Antes de conceder el acceso
- Se muestra exclusivamente el diálogo de autenticación, evitando información que pueda atraer a usuarios no autorizados (no se indica el tipo de información que contiene el sistema).
- Se requiere identificación y autenticación conforme a OP.ACC.1 y OP.ACC.5.
- Para categoría ALTO, se requiere autenticación de doble factor en el acceso local.
Bloqueo por intentos fallidos
Se limita a 3 intentos fallidos consecutivos antes de bloquear la cuenta, impidiendo ataques de fuerza bruta. El bloqueo se gestiona conforme a la política de autenticación (OP.ACC.5).
Registro de accesos
Se registran todos los accesos al sistema, tanto exitosos como fallidos, incluyendo:
- Identificador del usuario.
- Fecha y hora.
- Resultado (exitoso o fallido).
- Dirección de origen.
Los registros se conservan durante un mínimo de 2 años (requisito para categoría ALTO) y se revisan periódicamente o mediante herramientas automatizadas para detectar patrones anómalos.
Notificación al usuario
Tras un acceso exitoso, el sistema informa al usuario del último acceso realizado con su identidad (fecha y hora), permitiéndole detectar posibles suplantaciones.
Restricción de horarios y ubicaciones
Se controla el acceso al sistema restringiendo, cuando proceda, los horarios y las ubicaciones desde las que se permite el acceso. Las excepciones se documentan y justifican.
Entorno protegido
Para categoría ALTO, el acceso local se realiza desde un entorno protegido que cumple las siguientes condiciones:
- Las estaciones de trabajo están configuradas conforme a las guías CCN-STIC aplicables (Serie 500 para entornos Windows, Serie 600 para otros entornos).
- El cifrado de disco está habilitado.
- El firewall local está activo.
- Las actualizaciones de seguridad se aplican de forma periódica.
- Los dispositivos de almacenamiento extraíble están deshabilitados salvo autorización expresa del Responsable de Seguridad.
Verificación puntual de identidad
En puntos críticos del sistema se requiere verificación adicional de la identidad del usuario (por ejemplo, para operaciones sensibles), acotando la ventana de riesgo ante un posible robo de sesión.
Responsabilidades
| Rol ENS | Responsabilidad |
|---|---|
| Responsable de Seguridad | Definir la política de acceso local, aprobar excepciones |
| Responsable del Sistema | Configurar y mantener las estaciones de trabajo, aplicar las políticas técnicas |
| Responsable del Servicio | Definir restricciones de horarios y ubicaciones para el servicio |
| Responsable de la Información | Definir restricciones de acceso a la información desde entornos locales |
Documentos de referencia
- Real Decreto 311/2022, Anexo II, OP.ACC.6
- Guías CCN-STIC: Serie 500 (Entornos Windows), Serie 600 (Otros Entornos)
- ISO/IEC 27002:2013, 9.4.2 - Procedimientos seguros de inicio de sesión
- NIST SP 800-53 rev. 4: AC-7, AC-8, AC-9
Signature meaning
The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:
- Author: Team members involved
- Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
- Approver: JD-001 General Manager