Altas de usuarios.
Antes de iniciar, vamos a ver este caso de estudio como un supermercado pequeño, llamado a veces minimarket,
nos contrató para auditar los controles internos de TAI, producto de un entendimiento y una evaluación
de riesgos.
Determinamos que debemos de revisar los controles de creación de usuarios en los sistemas críticos de
la empresa.
Estos sistemas son TPB un, dos, tres con el cual se administran los procesos del negocio y el sistema
operativo Windows, que son los usuarios que están creados en el dominio.
Antes de resolver este caso de estudio, vamos a hablar un poco acerca del otorgamiento de privilegios
o como le llamamos también altas de usuarios.
La creación de usuarios y el otorgamiento de privilegios en los sistemas de las empresa debe hacerse
en base a solicitudes apropiadamente autorizadas.
Estos son controles preventivos muy importantes y por tal razón debemos asegurarnos que el otorgamiento
de acceso es realizado sólo cuando es aprobado por el dueño de los datos o el individuo que tiene en
este momento la autoridad para tales fines.
Y este otorgamiento sólo se hace, si es necesario, para el desempeño de las funciones de cada empleado
o de cada usuario.
Los dueños de los datos o dueños de los procesos son aquellas personas responsables de los procesos
de negocio dentro de la empresa, y usualmente es el gerente, el director o encargado del área, responsable
de las actividades que se realizan en el sistema.
Es vital que en las empresas se tenga documentada una política de control de acceso basada en el negocio
y en los requisitos de seguridad de la información.
Esta política o este documento deben incluir lo siguiente Requisitos de seguridad de las aplicaciones
normas para la autorización de acceso.
Niveles de seguridad de la información.
Segregación de roles de control de acceso.
Requisitos para la autorización formal de solicitudes de acceso.
Normas de revisión periódica de los derechos de accesos.
Lineamientos para la eliminación de los derechos de accesos y el tratamiento de roles con accesos privilegiados.
En una revisión de la gestión de acceso en general, el auditor debería de hacer lo siguiente Verificar
la utilización de identificadores de usuarios únicos para permitir que los usuarios sean vinculados
y responsables de sus acciones.
Obtener la autorización del propietario del sistema de las cuentas creadas en el mismo.
Obtener la aprobación de los derechos de accesos otorgados a los usuarios.
Verificar que el nivel de acceso otorgado es apropiado con las políticas de acceso de la empresa.
Verificar la correcta segregación de funciones.
Asegurar que los derechos de accesos no fueron dados antes de la autorización.
Asegurarse que los privilegios de proveedores de servicios sólo se habiliten cuando sea necesario y
de manera temporal.
Verificar si se mantiene un registro central de los derechos de accesos otorgados a los usuarios para
accesar a los sistemas.
Verificar que se actualicen los derechos de acceso de los usuarios que han cambiado de funciones dentro
de la empresa y que se elimine la privilegios que no sean necesario o que no correspondan con sus nuevas
funciones.
Verificar que se habilitan o eliminan de inmediato las cuentas de los usuarios que han abandonado la
organización y verificar que no existen cuentas activas en desuso.