Bajas de usuarios
en las empresas suele pasar que los accesos de los empleados desvinculados o movidos no son eliminados
oportunamente.
Este es uno de los casos que generan riesgos considerables para las empresas.
Típicamente podemos encontrar cuentas de usuarios activas en los sistemas correspondientes a personas
que ya no trabajan para la empresa, que pudieran ser utilizadas para realizar acciones fraudulentas,
tanto por la persona dueña de la cuenta de usuario como por un empleado interno que conozca la contraseña
y busque evadir la responsabilidad de las acciones que pudiera realizar con dicha cuenta.
Ok, vamos a ver algunas consideraciones importantes sobre esto.
Primero, los cambios de funciones deben reflejarse en la adecuación de todos los derechos de accesos
que no son necesarios para el nuevo rol.
Los derechos de accesos que deberían ser eliminados o ajustados incluyen los accesos físicos y lógicos.
Se puede hacer la readecuación o ajuste mediante la eliminación, revocación o reemplazo de llaves magnéticas,
por ejemplo, llaves convencionales, tarjeta de identificación, el acceso biométrico o de cualquier
forma a las instalaciones de procesamiento de datos o datacenter, entre otros métodos.
Cualquier documento que identifique los derechos de acceso de los empleados y contratistas, como el
carnet de empleados, por ejemplo, debe reflejar el ajuste de los derechos de acceso.
Si un empleado saliente o usuario externo conoce la contraseña de algún servicio o cuenta de usuario
compartida que permanezca activa, esta contraseña debe cambiarse.
Los usuarios de personal salientes deben de ser eliminados de cualquier lista de acceso grupal.
Los derechos de accesos a la información y a los activos asociados deben ser reducidos o eliminados
antes o al momento de la salida del empleado, y deben considerarse factores como si la terminación
o cambio es iniciada por el empleado o si fue iniciada por la empresa.
La razón de la terminación es importante evaluar eso.
Las responsabilidades actuales del empleado o las responsabilidades que mantuvo el empleado y el valor
de los activos a los cuales el empleado tuvo acceso.
En el caso de terminación iniciada por la administración, es decir, por la empresa, los empleados
descontentos o los usuarios externos pueden intentar cometer acciones no autorizadas.
En el caso de las personas que renuncian, ellas pueden verse tentadas a recopilar la información para
un uso futuro.
Por estas razones, es importante que el auditor de sistema evalúe la efectividad de los controles de
bajas de usuarios.
Muy bien, ahora veamos nuestro caso de estudio.
Un supermercado pequeño llamado ABECÉ Minimarket nos contrató para auditar sus controles internos BTI,
producto de un entendimiento y una evaluación de riesgos.
Determinamos que debemos de revisar los controles de desactivación de usuarios en los sistemas críticos
de la empresa.
Estos sistemas son de PBA 1-2-3, con el cual se administran los procesos de negocio y el sistema operativo
Windows.
El primer paso que vamos a realizar es obtener las políticas y procedimientos documentados relacionados
a la desactivación o eliminación de las cuentas de usuarios.
Al igual que con las televisiones de altas de usuarios, debemos de solicitar las políticas y procedimientos
donde se definan las normativas y pasos a seguir para la desactivación de usuarios.
También es importante que se definan los diferentes escenarios cuando se deba realizar o no una desactivación
de usuarios.
Hemos de revisar esta política para tener un entendimiento de los de las acciones que se realizan al
momento de la salida de un empleado y cómo proceden a desactivar los privilegios de dicho empleado.
Debemos de obtener esta política para entender cómo la empresa procede a desactivar las cuentas de usuario
al momento de la salida o traslado de en personal.
El siguiente paso que vamos a realizar es obtener el reporte de usuarios de los sistemas críticos que
vamos a revisar que contengan por lo menos los siguientes campos de información y user Heidy, nombre,
fecha de creación, estatus, último inicio de sesión y departamento.
Luego de esto vamos a obtener el listado de los empleados desvinculados de la empresa en el período
que ya hemos definido.
Recuerden que un período es el lapso de tiempo que vamos a revisar.
Entonces, para este ejercicio vamos a revisar el año 2019 desde el primero de enero 2019 hasta el 31
de diciembre 2019.
Todas las salidas de los empleados de ese año lo vamos a tomar en cuenta para nuestra revisión.
Este listado debe tener por lo menos los siguientes campos de información nombre de empleado, puesto,
departamento, fecha de ingreso y la fecha de salida.
Por último, vamos a verificar si los empleados desvinculados poseen cuentas de usuarios en los sistemas
y que las mismas estén desactivadas.
Ese será nuestro proceso de validación, que para eso vamos a contar con una plantilla, al igual que
con la validación de altas de usuario para facilitar el proceso de verificación.