CIS Controls, gestión de cuentas y control de acceso

Cada salvaguarda de CIS pertenece a un grupo de implementación (IG1, IG2 o IG3) según el tamaño y la madurez de la organización. IG1 es la higiene básica que toda organización debería tener; IG2 añade lo que necesita una empresa con varios equipos y datos sensibles; IG3 añade lo propio de organizaciones con equipos de seguridad especializados.

Los grupos son acumulativos: quien pertenece a IG2 cumple lo de IG1 más lo de IG2. La tabla del laboratorio indica el primer grupo en que aparece cada salvaguarda.

No se puede proteger lo que no se conoce. Por eso las dos salvaguardas iniciales de gestión de cuentas piden inventarios: uno general de cuentas y otro aparte para las cuentas de servicio, que no tienen una persona detrás y por eso se olvidan.

La salvaguarda sobre cuentas inactivas pide desactivarlas o eliminarlas cuando llevan un número fijo de días sin uso, donde la plataforma lo permita. Contar los días se hace desde la fecha de corte de la exportación hasta el último inicio de sesión: si pasan más días que el umbral, la cuenta está dormida.

Aplica el umbral de la salvaguarda a la exportación de cuentas de Cotopaxi, con corte el 2026-09-30.

El control 6 incluye tres salvaguardas de segundo factor, según dónde se entra: aplicaciones expuestas a internet, acceso remoto a la red y acceso administrativo. Una cuenta de administración sin segundo factor es el hallazgo más caro de corregir tarde, porque su compromiso entrega el sistema completo.

Revisa las cuentas con acceso administrativo al sistema de despacho.

Una auditoría interna anota: «Cotopaxi no tiene un proceso escrito para retirar el acceso de quien sale de la empresa». El hallazgo no es de inactividad ni de inventario: es de proceso. En el control 6 hay una salvaguarda para concederlo y otra para revocarlo.