Acceso privilegiado
Gestionar y supervisar el acceso de las cuentas privilegiadas.
Acceso privilegiado se define por el resultado de NIST CSF 2.0 PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS, CMMC, 800-53 y NIS2. Editorial Con correspondencia editorial en CIS v8.1, SOC 2, Essential Eight, DORA y Cyber Essentials. Solo relación tangencial en HIPAA. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para GDPR y CPS 234.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Definición del tema | PR.AA-05 |
| ISO 27001 | A.8.2A.8.18 | Privileged access rights; Use of privileged utility programs | Correspondencia | A.8.2: via PR.AA-05; NIST 800-53 map: AC-2, AC-6 A.8.18: via PR.AA-05; NIST 800-53 map: AC-6 |
| CIS v8.1 | CIS 5.4CIS 12.8 | Restrict Administrator Privileges to Dedicated Administrator Accounts; Establish and Maintain Dedicated Computing Resources for All Administrative Work | Editorial | CIS 5.4: Restrict administrator privileges to dedicated accounts; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): dedicated computing resources for administrative work. |
| SOC 2 | CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | CC6.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.2 | Access assigned by job function and least privilege | Correspondencia | 7.2.2: via PR.AA-05 |
| CMMC | AC.L2-3.1.5AC.L2-3.1.6AC.L2-3.1.7 | Least Privilege; Non-Privileged Account Use; Privileged Functions | Correspondencia | AC.L2-3.1.5: via 800-171r3 03.01.05 ↔ PR.AA-05 → AC-6; 800-171r2 Appendix D → AC-6 AC.L2-3.1.6: via 800-171r3 03.01.06 ↔ PR.AA-05 → AC-6 AC.L2-3.1.7: via 800-171r3 03.01.07 ↔ PR.AA-05 |
| 800-53 | AC-2(7)AC-6(5) | Privileged User Accounts; Privileged Accounts | Correspondencia | AC-2(7): via PR.AA-05 AC-6(5): via PR.AA-05 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(4)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.AA-05) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 11.311.4 | Privileged accounts and system administration accounts; Administration systems | Correspondencia | 11.3: via ENISA ISO map: A.8.2, A.8.18 11.4: via ENISA ISO map: A.8.2, A.8.18 |
| Essential Eight | ISM-1507ISM-1508ISM-0445ISM-1175ISM-1380ISM-1648ISM-1647ISM-1387 | Requests for privileged access to systems and their resources are validated when first…; Privileged access to systems and their resources is limited to only what is required…; Privileged human users are assigned a dedicated privileged user account to be used…… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(c) | Protection and prevention | Editorial | Art.9(4)(c): Sound administration of access rights covers privileged accounts, although the regulation's own text doesn't single them out. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | CE 4 | User Access Control | Editorial | CE 4: Separate accounts for administrative work only, and special access privileges removed when no longer needed. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Acceso privilegiado
La gestión de accesos privilegiados (PAM, por sus siglas en inglés) se centra en proteger, controlar y supervisar las cuentas con permisos elevados, como los administradores de dominio, los administradores de bases de datos y las cuentas root. Su implementación suele consistir en desplegar una solución PAM que ofrezca almacenamiento seguro de contraseñas (password vaulting), grabación de sesiones, aprovisionamiento de acceso just-in-time y rotación automática de credenciales. Dado que las cuentas privilegiadas comprometidas están implicadas en la mayoría de las filtraciones de datos, las organizaciones deben aplicar el principio de mínimo privilegio, exigir MFA para todo acceso privilegiado y realizar revisiones periódicas para asegurar que los permisos elevados siguen estando justificados.