Revisiones de accesos de usuarios que superan a cualquier auditor
Las revisiones de accesos son uno de los controles que más suspenden en las auditorías, rara vez porque nadie las hizo y, por lo general, porque nadie puede demostrar que se hicieron correctamente.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
Pocos controles son tan universales ni fallan con tanta frecuencia como las revisiones de accesos de usuarios. Todos los marcos esperan que alguien compruebe periódicamente que cada persona sigue necesitando los accesos que tiene. La mayoría de las organizaciones realizan la revisión. Muchas menos pueden demostrar a un auditor que fue completa, independiente y que se actuó en consecuencia.
Lo que exigen los marcos
| Marco | Control de acceso | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | Definición del tema |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | Correspondencia |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | Correspondencia |
| SOC 2 | CC6.1CC6.2CC6.3 | Editorial |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | Correspondencia |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | Correspondencia |
| 800-53 | AC-2AC-3 | Correspondencia |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | Correspondencia |
| GDPR | Art.25(2)Art.32(1)(b) | Editorial |
| NIS2 | 11.111.211.5 | Correspondencia |
| Essential Eight | — | Sin correspondencia en nuestros datos |
Detalle completo y motivo de cada vínculo: Control de acceso en todos los marcos →
PCI DSS es el único que fija una frecuencia: todas las cuentas de usuario y privilegios deben revisarse al menos cada seis meses (7.2.4), y también las cuentas de aplicaciones y sistemas (7.2.5.1). Los auditores de SOC 2 comprueban que el acceso se autoriza, modifica y retira de forma adecuada (CC6.2, CC6.3) y buscan revisiones periódicas como evidencia. ISO 27001 exige que los derechos de acceso se revisen a intervalos regulares (A.5.18). HIPAA exige la gestión del acceso a la información y la revisión de la actividad (§164.308(a)(4)). CMMC espera que el acceso se limite a usuarios y funciones autorizados (AC.L2-3.1.1, 3.1.2) y que se aplique el mínimo privilegio.
Una revisión que supera la auditoría
- Población completa. Extraiga la lista de usuarios directamente del sistema (una exportación, no una hoja de cálculo que mantenga alguien), incluidas las cuentas de servicio y las compartidas.
- Revisor adecuado. El propietario del sistema o de los datos, o el responsable de cada usuario, no el administrador que concedió el acceso.
- Contexto suficiente. Muestre a los revisores el rol y el nivel de acceso de cada usuario, para que «aprobar» sea una decisión informada.
- Una decisión por cuenta. Mantener, modificar o eliminar, con el nombre del revisor y la fecha.
- Cambios realmente aplicados. Abra tickets para las eliminaciones y conserve pruebas de que se completaron.
- Evidencias conservadas. La exportación, las decisiones, los tickets y la aprobación, almacenados juntos.
Frecuencia
Use los seis meses de PCI DSS como referencia para todos los sistemas incluidos en el alcance y revise el acceso privilegiado trimestralmente. Si tiene un informe SOC 2 Tipo II, asegúrese de que al menos una revisión (idealmente dos) caiga en cada periodo de observación.
Lo que encuentran los auditores
- Aprobaciones automáticas: todas las cuentas aprobadas en minutos por alguien que no podía saberlo.
- Poblaciones incompletas: la revisión cubrió la aplicación pero no la base de datos, o las cuentas humanas pero no las de servicio.
- Autorrevisión: administradores que aprueban su propio acceso.
- Eliminaciones no completadas: la revisión indicó eliminar; la cuenta sigue existiendo meses después.
- Bajas detectadas en la revisión: señal de que el proceso de baja de usuarios falla, algo que los auditores comprobarán por separado.
Puntos clave
- Las revisiones suspenden las auditorías por sus evidencias, no por falta de esfuerzo: poblaciones incompletas, autorrevisión y eliminaciones nunca completadas.
- Use una exportación del sistema, el revisor adecuado, una decisión por cuenta y pruebas de los cambios.
- Las revisiones semestrales (la regla de PCI DSS) y trimestrales para el acceso privilegiado cumplen con todos los marcos.
- Limite el alcance a los sistemas que importan y automatice la mecánica.
Hacerlo sostenible
Automatice la exportación y los recordatorios, revise por sistema en lugar de por usuario y limite el alcance a los sistemas que importan: producción, datos de clientes, herramientas privilegiadas y cualquier elemento incluido en el alcance de un marco. Una revisión más pequeña y bien documentada supera a una extensa que siempre llega tarde.
Consulte las páginas de tema Control de acceso y Acceso privilegiado para ver cada requisito con su fuente, y nuestro artículo sobre reutilización de evidencias entre SOC 2, ISO 27001 y PCI DSS.
Preguntas
¿Con qué frecuencia deben revisarse los accesos de usuarios?
PCI DSS exige que las cuentas de usuario y los privilegios de acceso se revisen al menos cada seis meses (7.2.4). La mayoría de los demás marcos exigen una revisión periódica con la frecuencia que usted defina; trimestral para el acceso privilegiado y cada seis meses para el resto es una referencia habitual.
¿Quién debe realizar una revisión de accesos?
El propietario del sistema o de los datos, o el responsable del usuario, no el administrador que concedió el acceso. Los auditores buscan independencia y un revisor informado.
¿Las cuentas de servicio necesitan revisiones de acceso?
Sí. Los auditores incluyen cada vez más las cuentas de servicio, compartidas y de API en la población revisada; PCI DSS exige expresamente la revisión periódica de las cuentas de aplicaciones y sistemas (7.2.5.1).
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.
Análisis · 2026-09-29Regla de Seguridad de HIPAA desde la perspectiva de NIST CSF 2.0Un programa basado en NIST CSF 2.0 se corresponde con casi todos los requisitos de la Regla de Seguridad de HIPAA. Qué se traslada, los dos que no, y qué aporta CSF más allá de HIPAA.