Pruebas de acceso, una vez y tres usos

Una prueba de acceso tiene dos partes que conviene separar: la población (todas las cuentas del directorio a una fecha de corte) y el criterio (contra qué se juzga cada cuenta). La población puede ser la misma para los tres marcos. El criterio no: ISO prueba contra lo que dice la política de la organización, SOC 2 contra los criterios de confianza y contra lo que la entidad describe de su propio sistema, y PCI DSS contra los requisitos de la norma.

Por eso se pide una sola exportación completa y se evalúa tres veces. Pedirla tres veces solo multiplica el trabajo y abre la posibilidad de que las tres copias no coincidan.

La prueba más repetida del acceso es cruzar las bajas de personal con el directorio: si alguien salió, su cuenta debe cerrarse. El cruce se hace por el identificador del titular, no por el nombre, porque el directorio no guarda nombres completos. La política de Aguacatal pide cerrar el acceso el mismo día de la salida.

Abre rrhh/bajas.txt y directorio/cuentas.txt. Interesa la cuenta cuyo último inicio de sesión es posterior a la fecha de salida de su titular.

Un hallazgo así no es uno por marco: es un solo hecho con tres lecturas, y por eso se anota una vez con su evidencia y se refiere desde las tres secciones del informe.

La política de Aguacatal exige segundo factor a toda cuenta de perfil Administrador y a todo acceso al entorno de tarjetas. PCI DSS lo exige para todo acceso al entorno de datos de tarjeta (requisito 8.4.2). Para la prueba se toman las cuentas de persona con acceso al entorno de tarjetas y se mira la columna del segundo factor.

La cuenta de servicio lleva n/a en esa columna: no tiene persona detrás y se prueba con otro control, así que no se cuenta aquí.

Aquí los tres criterios se separan. La política de Aguacatal deshabilita las cuentas a los 180 días sin uso; la descripción del sistema que firma la dirección para SOC 2 promete 90 días, y PCI DSS pide 90 (requisito 8.2.6). Una cuenta con menos de 180 y más de 90 días sin uso cumple la política, pero incumple lo que la empresa dijo a sus clientes y lo que pide la norma.

Cuenta los días desde el último inicio hasta el corte del 30 de septiembre de 2027 y fíjate solo en cuentas activas.

Con la misma cuenta inactiva, el equipo de ISO que prueba contra la política interna la da por conforme, mientras que SOC 2 y PCI DSS la marcan. No es un error de ningún equipo: cada uno aplicó su criterio. El error sería informar «conforme» en el informe único sin decir contra qué.