NIS2 compliance: 7 low-cost steps to secure credentials

Los pre­su­pues­tos li­mi­ta­dos de se­gu­ri­dad a me­nu­do no al­can­zan para un pro­gra­ma com­ple­to de la nor­ma­ti­va NIS2 de una sola vez, por lo que el con­trol de cre­den­cia­les re­pre­sen­ta un punto de par­ti­da ac­ce­si­ble para hacer los ac­ce­sos vi­si­bles, re­vo­ca­bles y re­vi­sa­bles sin ne­ce­si­dad de nueva in­fra­es­truc­tu­ra. Según las me­di­das de ges­tión de ries­gos del Ar­tícu­lo 21, la elec­ción de po­lí­ti­cas y he­rra­mien­tas es­pe­cí­fi­cas se adap­ta a los pe­li­gros reales que en­fren­ta cada en­ti­dad, abar­can­do sec­to­res crí­ti­cos me­dia­nos y gran­des. La ges­tión de cre­den­cia­les re­sul­ta fun­da­men­tal, ya que este tipo de datos se vio com­pro­me­ti­do en un por­cen­ta­je sig­ni­fi­ca­ti­vo de las bre­chas ana­li­za­das en un in­for­me de Ve­ri­zon, lo que con­vier­te a este ám­bi­to en un ob­je­ti­vo tem­prano ideal para cual­quier pro­gra­ma ba­sa­do en ries­gos.

El cum­pli­mien­to exige abor­dar as­pec­tos como la hi­gie­ne ci­ber­né­ti­ca, el en­tre­na­mien­to, las po­lí­ti­cas de con­trol de ac­ce­so, los re­cur­sos hu­ma­nos, la ges­tión de ac­ti­vos y la eva­lua­ción de la efi­ca­cia de los con­tro­les. Un pro­gra­ma de cre­den­cia­les debe res­pon­der a quién tiene ac­ce­so, por qué lo tiene, cómo se eli­mi­na dicho ac­ce­so y de qué ma­ne­ra se de­mues­tra el fun­cio­na­mien­to del con­trol ante au­di­to­res. Las cuen­tas pri­vi­le­gia­das, las cre­den­cia­les com­par­ti­das y las iden­ti­da­des de ser­vi­cio no hu­ma­nas pre­sen­tan di­fe­ren­tes ni­ve­les de ries­go que re­quie­ren un in­ven­ta­rio, pro­pie­ta­rios asig­na­dos y ci­clos de re­vi­sión, ade­más de prác­ti­cas como la for­ta­le­za de con­tra­se­ñas, ro­ta­cio­nes tras ex­po­si­cio­nes y la eli­mi­na­ción de cla­ves pre­de­ter­mi­na­das de pro­vee­do­res.