Familias de acceso, auditoría y configuración en lectura

Un analista de GRC recibe evidencia suelta y debe saber a qué familia pertenece para ordenarla. La regla práctica: la familia responde a qué pregunta contesta la evidencia. AC responde a quién puede entrar y con qué privilegios. AU responde a qué quedó registrado, con qué detalle, cuánto tiempo y quién lo revisa. CM responde a cómo debería estar configurado un componente y si lo está.

Los controles que vas a usar: AC-2 (gestión de cuentas) con su mejora AC-2(3), AU-2 (qué eventos se registran), AU-3 (contenido de cada registro), CM-2 (configuración base) y CM-6 (parámetros de configuración).

La política del instituto fija en 60 días el plazo de inactividad (parámetro de AC-2(3)). Una cuenta habilitada que lo supera es un hallazgo de acceso: nadie la usa, nadie la vigila y sigue abierta. Una cuenta que ya está deshabilitada no lo es, aunque supere el plazo, y una que no lo supera tampoco.

Cruza tres columnas: días sin acceso, plazo y estado.

AU-2 pide definir qué eventos se registran; no basta con escribirlo en la política, hay que ver el evento en el registro. Si el evento más importante para un caso (por ejemplo, el inicio de sesión de un administrador) está en la lista pero no aparece en los registros, la política y la práctica se separaron.

AU-3 pide que cada registro lleve lo necesario para reconstruir un hecho: qué ocurrió, cuándo, dónde, de qué origen, con qué resultado y qué persona o proceso lo provocó. Un registro al que le falta uno de esos campos sigue siendo un registro, pero ya no sirve para atribuir una acción.

Mira las columnas de la muestra y busca la que no trae ningún dato.

CM-2 exige una configuración base documentada y aprobada, y CM-6 exige que los parámetros de configuración estén fijados y que se vigile su desviación. La revisión es una comparación fila por fila: una configuración que nadie compara con su base se desvía sin que nadie lo note, y esa desviación no suele ser decisión de nadie.