Familias AC e IA en NIST 800-53

En SP 800-53 cada control se identifica con las letras de su familia y un número: AC-2 es el segundo control de la familia de control de acceso. Muchos tienen mejoras de control, que van entre paréntesis y añaden o refuerzan una exigencia del control base: AC-2(3) es la tercera mejora de AC-2.

La diferencia importa al citar. Decir «cumplimos AC-2» no dice nada sobre sus mejoras; la organización elige cuáles aplica según su nivel de riesgo, y la cita tiene que nombrar la que se probó.

La gestión de cuentas es un control base con mejoras que lo detallan. Una de ellas pide desactivar, en el plazo que fije la organización, las cuentas que están vencidas, que ya no tienen titular, que violan la política o que llevan tiempo inactivas. Fíjate en que el plazo no lo fija la norma: lo define cada organización.

Busca esa mejora en el extracto.

La autoevaluación de Cotopaxi dejó tres brechas sin control. La primera dice que quienes administran el sistema de despacho entran solo con usuario y contraseña. En la familia de identificación y autenticación hay una mejora para cuentas con privilegios y otra para cuentas sin ellos.

SP 800-53 distingue a los usuarios de la organización de los que no lo son: un empleado se identifica con un control, un cliente, un proveedor o un transportista externo con otro, porque la organización no controla su ciclo de vida ni sus dispositivos de la misma manera.

La brecha B-2 describe a transportistas externos que entran al portal con cuentas creadas por su empresa.

Para estimar el trabajo de una evaluación se cuenta cuántos controles caen en cada familia. El extracto que recibiste mezcla controles de AC e IA, incluidas algunas mejoras, cada una en su propia fila.