La política de control de acceso, redactada a partir de unas pocas respuestas

# Política de control de acceso: [empresa]

Responsable de la política: [el responsable de la política] · Aprobada por: [la dirección]

Redactada el  con la página gratuita de getstandardos.com frente a los controles del anexo A de ISO/IEC 27001:2022 sobre control de acceso, gestión de identidades, información de autenticación, derechos de acceso, acceso privilegiado, restricción de acceso a la información y autenticación segura. La redacción es de StandardOS.

## 1. Objeto y alcance

Esta política dice cómo [empresa] da a personas y sistemas acceso a su información y servicios, cómo ese acceso se protege, revisa y retira, y quién decide. Se aplica a cada cuenta de cada sistema dentro del alcance del sistema de gestión, sea de un empleado, un contratista, un proveedor o una máquina.

## 2. Principios

- Mínimo privilegio: cada uno recibe el acceso que su rol necesita y nada más, y el acceso se añade cuando una tarea lo requiere, no por adelantado.
- Una identidad por persona: cada cuenta pertenece a una persona con nombre o a un sistema con nombre, las cuentas compartidas no existen, y una cuenta de emergencia está sellada, registrada y tiene propietario.
- Denegar por defecto: un sistema nuevo, una persona nueva y un rol nuevo empiezan sin acceso, y el acceso se concede, no se presume.
- Un propietario por sistema: cada sistema tiene un propietario con nombre que aprueba el acceso y responde de sus revisiones.

## 3. Identidades e incorporaciones

Cada persona tiene una identidad en [por completar], y cada servicio que puede usarla la usa; donde un servicio no puede, el propietario del sistema crea su cuenta a partir del mismo registro de identidad y la lista junto a él. La pertenencia a un grupo del proveedor de identidad es la forma de conceder un rol.

Quien se incorpora recibe acceso el primer día mediante una solicitud de su responsable que nombra el rol; la solicitud, la aprobación y las cuentas creadas se registran, y nada se concede de palabra.

## 4. Autenticación

La autenticación multifactor está activada en cada cuenta que la ofrece, con una aplicación de autenticación o una llave física y nunca por SMS cuando existe un factor más fuerte; un servicio sin ella es una excepción según la sección 11.

Las contraseñas son largas, únicas, generadas por el gestor de contraseñas de la empresa y guardadas en él, nunca reutilizadas entre servicios y nunca escritas en código, tickets o chats; los secretos que usan los sistemas viven en un gestor de secretos, se rotan cuando se va una persona con acceso a ellos, y nunca se suben a un repositorio.

## 5. Derechos de acceso y roles

El acceso se concede por rol. [Nombre los roles por los que la empresa concede el acceso, cada uno con los sistemas y el nivel de acceso que conlleva; el catálogo de roles es del responsable de la política y se revisa con las revisiones de accesos.]

Cuando una persona cambia de rol, el acceso del rol anterior se retira el día en que se concede el nuevo; el acceso nunca se acumula entre roles, y una necesidad temporal se concede con una fecha de fin que la retira.

## 6. Acceso privilegiado

Los derechos de administración viven en cuentas de administrador separadas, usadas solo para tareas de administración y nunca para correo, navegación o trabajo diario; la cuenta diaria no tiene derechos elevados.

El acceso privilegiado lo concede el propietario del sistema a personas con nombre, se lista, se protege con autenticación multifactor, se revisa en cada revisión de accesos y se retira en cuanto el rol deja de necesitarlo; no se accede a datos de producción con derechos privilegiados para desarrollo o pruebas.

## 7. Proveedores y otros terceros

Un proveedor, auditor o socio obtiene acceso solo bajo contrato, mediante una cuenta con nombre patrocinada por un propietario de sistema, limitada a los sistemas y al periodo que el trabajo requiere, con una fecha de fin que lo retira; el acceso de terceros se revisa con las revisiones de accesos y se revoca al terminar el contrato.

## 8. Revisiones de accesos

Cada trimestre, cada propietario de sistema revisa cada cuenta y cada privilegio de su sistema frente al catálogo de roles y la lista de personas, retira lo que ya no hace falta, y registra la revisión, sus hallazgos y las retiradas; [el responsable de la política] dirige el ciclo e informa de los resultados a la revisión por la dirección.

## 9. Salidas

El último día de una persona, cada cuenta se desactiva antes de que abandone el edificio o la llamada, se retiran sus pertenencias a grupos, se rotan los secretos que conocía, se devuelven y borran sus dispositivos, y la retirada se registra; las cuentas se eliminan tras el periodo de conservación que fija la empresa.

## 10. Registro

Los inicios de sesión, los fallos de inicio de sesión, las elevaciones de privilegios y los cambios de derechos de acceso se registran en cada sistema que puede registrarlos, se conservan el periodo que fija la empresa, se protegen contra cambios, y se leen cuando un incidente o una revisión de accesos lo requiere.

## 11. Excepciones

Una excepción a esta política se solicita por escrito, la aprueba [el responsable de la política] con una fecha de fin y una medida compensatoria, se anota en el registro de excepciones y se revisa con las revisiones de accesos; una excepción sin fecha de fin es un hallazgo.

Aprobada por [la dirección] el [fecha]; responsable [el responsable de la política]; revisada al menos una vez al año y siempre que cambien los sistemas, los roles o el proveedor de identidad de la empresa.

Esta política se redacta a partir de las respuestas dadas. No es asesoramiento de certificación; la entidad de certificación lee la política por sus reglas y después muestrea las cuentas, las revisiones y las salidas frente a ella, y el registro que acepta es el que la empresa mantiene.