CIS Control 5: Gestión de cuentas

Los CIS Critical Security Controls son herramientas poderosas para ayudar a las empresas a evaluar sus vulnerabilidades, realizar una gestión de riesgos de ciberseguridad efectiva, fortalecer su postura de seguridad y establecer y mantener el cumplimiento con los mandatos de ciberseguridad.

CIS Control 5 ofrece estrategias para asegurar que tus cuentas de usuario, administrador y de servicio estén debidamente gestionadas. Por ejemplo, abarca la configuración de controles de acceso a datos robustos y la implementación de monitoreo continuo para proteger las cuentas de ser explotadas por atacantes. Este artículo describe estos puntos de referencia de CIS con más detalle para ayudarte a evitar problemas de ciberseguridad causados por cuentas vulnerables.

(Tenga en cuenta que algunos CIS controls fueron renumerados en la versión 8; anteriormente, la gestión de cuentas era CIS Control 16.)

5.1 Establecer y mantener un inventario de cuentas

El Control CIS 5 se centra en establecer y mantener un inventario de las cuentas de administrador y usuario en una empresa. Se debe documentar el nombre del titular de la cuenta, las fechas de inicio/finalización, el nombre de usuario y el departamento; también puede ser beneficioso documentar el propósito de la cuenta.

Mantener el inventario requiere verificar regularmente que todas las cuentas que se están utilizando están autorizadas. Normalmente, la validación se realiza trimestralmente, aunque podría hacerse con más frecuencia si es necesario. Es importante utilizar este proceso en conexión con las salvaguardas de inventario enumeradas en otros controles, como los siguientes:

• 1.1: Utilice una herramienta de Active Discovery
• 2.1: Mantener inventario de software autorizado
• 3.2: Realizar escaneo de vulnerabilidades autenticado
• 5.1: Establecer Configuraciones Seguras
• 6.6: Despliegue SIEM o herramientas de análisis de registros
• 16.4: Cifrar o aplicar hash a todas las credenciales de autenticación

5.2 Utilice contraseñas únicas

Usar contraseñas únicas para cada cuenta en su red es crucial para asegurar los activos de su empresa contra el acceso no autorizado. Las mejores prácticas descritas por CIS incluyen:

• Requiera una longitud mínima de contraseña de ocho caracteres cuando se combine con autenticación de múltiples factores (MFA), y una longitud de al menos 14 caracteres para cuentas que no utilicen MFA.
• Evite usar contraseñas que sean fáciles de adivinar para los hackers, como nombres o fechas de nacimiento.
• Evite reutilizar contraseñas anteriores porque podrían haberse filtrado, lo que aumenta el riesgo de una fuga de datos
• Cambie las contraseñas predeterminadas de todas las aplicaciones.

5.3 Desactivar cuentas inactivas

Las cuentas inactivas son aquellas que no se han utilizado durante al menos 45 días. Auditar regularmente su entorno en busca de estas cuentas y deshabilitarlas o eliminarlas reduce el riesgo de que los hackers las comprometan y accedan a su red. Puede deshabilitar estas cuentas automáticamente estableciendo fechas de caducidad, si el sistema de su empresa lo permite.

5.4 Restrinja los privilegios de administrador a cuentas de administrador dedicadas

Las cuentas privilegiadas deben usarse solo cuando sea necesario para completar tareas administrativas. Cuando los administradores quieran realizar tareas regulares como navegar por internet o trabajar en correos electrónicos, deben usar su cuenta no privilegiada para minimizar los riesgos de seguridad.

5.5 Establecer y mantener un inventario de cuentas de servicio

Es importante establecer un inventario de todas las cuentas de servicio. Como mínimo, debe incluir el nombre del propietario del departamento, la fecha de revisión y el propósito de la cuenta. El inventario debe ser revisado según el calendario, al menos trimestralmente, para validar que todas las cuentas activas todavía son necesarias.

5.6 Centralizar la gestión de cuentas

Centralizar toda la gestión de cuentas en un solo lugar utilizando un servicio de identidad o directorio, como Active Directory, facilita el trabajo y ayuda a garantizar la precisión.