Quién puede acceder a qué: el núcleo del control de acceso
El control de acceso responde a una pregunta: quién tiene acceso a qué sistema, y por qué exactamente esa persona y no otra. En la obligación de diligencia debida de la NIS2, es una de las medidas que una organización debe poder demostrar, y en la práctica es también la medida sobre la que los cuestionarios de seguridad preguntan con mayor frecuencia e insistencia. Esto no es casualidad: un atacante que logra entrar, buscará cuentas con demasiados privilegios, y el control de acceso es precisamente la medida que limita eso.
Para un proveedor de servicios TIC, esto se manifiesta de tres formas: gestión remota de sistemas propios y de clientes, acceso directo a sistemas del cliente, y el papel de los subcontratistas que a veces también necesitan acceso. Cada forma plantea una pregunta ligeramente diferente, y un cliente que envía el cuestionario quiere una respuesta en los tres casos.
Gestión remota: el primer lugar donde aterriza un cuestionario
En la gestión remota, no solo se trata de si se requiere una contraseña, sino de quién puede iniciar sesión exactamente, con qué cuenta, y si eso se puede rastrear hasta una sola persona. Una cuenta de administración compartida utilizada por todo el equipo es difícil de evaluar para una autoridad de supervisión o un cliente: si algo sale mal, no se puede determinar quién estaba dentro en ese momento. La autenticación multifactor en el acceso de administración es ahora el mínimo que se exige, y muchos cuestionarios también quieren saber si las sesiones se registran y si el acceso se revoca automáticamente después de un período de inactividad.
El pensamiento subyacente se llama en la normativa el principio de acceso mínimo: alguien solo recibe derechos para lo que es necesario para su tarea, nada más. Para una empresa de instalación o un administrador de TI, eso suena abstracto, pero en la práctica se reduce a una comprobación simple: ¿puede un técnico que solo mantiene impresoras acceder también a la administración financiera? Si no, eso ya es una indicación de que el control de acceso está en orden.
Acceso a sistemas del cliente: por qué esto se pregunta por separado
Cuando un proveedor de servicios TIC inicia sesión directamente en sistemas del cliente, surge una capa adicional. El cliente quiere entonces saber no solo cómo el proveedor de servicios asegura su propio acceso, sino también cómo se evita que una cuenta del proveedor de servicios se convierta en una puerta de entrada al resto de la red del cliente. Por eso, los cuestionarios a menudo preguntan específicamente sobre segmentación: ¿el acceso se limita al sistema para el que estaba destinado, o puede un técnico acceder desde esa única cuenta a otras partes?
Esta es precisamente la razón por la que los clientes tratan este tema con prioridad sobre preguntas más generales. Una organización obligada por diligencia debida debe evaluar a sus proveedores, y el acceso a sus propios sistemas es el riesgo más concreto que puede identificar. Si como proveedor ya tiene una respuesta clara aquí — quién puede iniciar sesión, con qué derecho, y cómo se revisa esto periódicamente — se ahorra una serie de preguntas de seguimiento. investigó por tema qué implica exactamente una medida proporciona un punto de partida para ello.
Subcontratistas: la misma pregunta, un eslabón más atrás
Tan pronto como un subcontratista participa en un encargo, la pregunta no desaparece sino que se desplaza un eslabón más atrás en la cadena. Un cliente que evalúa el control de acceso del proveedor de servicios también quiere saber si ese proveedor de servicios a su vez tiene control sobre el acceso de sus propios subcontratistas. ¿Se crea una cuenta para un subcontratista por separado y se revoca tan pronto como se completa el encargo, o persiste ese acceso silenciosamente? Lo último es uno de los hallazgos más frecuentes cuando se examina el control de acceso: cuentas que alguna vez fueron necesarias, pero nunca se limpiaron.
Una práctica recomendada es, por lo tanto, vincular el acceso a la duración de la tarea y asignar un propietario fijo responsable de revocarlo. Quien pueda señalar esto — un nombre, no una función en términos generales — da una respuesta más concreta a una pregunta de seguridad que una descripción de política únicamente.
Lo que esto significa para su dossier propio
El control de acceso no es una medida que se configura una vez y luego se deja; es un registro que debe mantenerse siempre que cambien roles, clientes o subcontratistas. Para quienes aún deben determinar si esto es relevante como obligación sectorial o de cadena de suministro, la verificación en algunas preguntas ofrece una primera indicación de dónde se encuentra una organización. Quienes ya saben que los cuestionarios seguirán llegando, pueden comenzar con las preguntas más frecuentes sobre qué se pregunta exactamente profundizar en la propia situación.
Lo esencial es fácil de recordar, incluso sin conocimientos jurídicos: ¿puede indicar en cualquier momento quién tiene acceso a qué sistema, por qué y desde cuándo? Quien tenga preparada esta respuesta ya está muy avanzado en la mayoría de los cuestionarios. Quien aún debe averiguarlo puede hacer un primer escaneo rápido gratuito en secria.eu para tener una idea inicial de por dónde empezar.