Un empleado se marcha de la empresa y, tres meses después, su cuenta sigue activa con acceso al CRM y a los documentos financieros. Situaciones como esta son de las que la ISO 27001 busca evitar mediante el control de acceso, y también de los hallazgos más frecuentes en las auditorías de certificación. Y es que controlar el acceso implica decidir quién entra a cada sistema, qué puede hacer dentro y cuánto tiempo conserva ese permiso. La norma dedica varios controles a ordenar todo ese proceso.
En este artículo repasamos qué es el control de acceso según la ISO 27001, qué exige la versión de 2022, en qué principios se apoya, qué tipos existen, qué debe recoger la política y cómo implementarlo en la práctica.
¿Qué es el control de acceso en la ISO 27001?
El control de acceso es el conjunto de reglas y mecanismos que determinan quién puede acceder a la información y a los sistemas de una organización, y qué puede hacer con ellos. Su objetivo es garantizar que solo las personas autorizadas accedan a la información que necesitan para su trabajo, y prevenir cualquier acceso no autorizado.
La norma abarca dos planos que deben regirse por los mismos principios:
- Acceso lógico: permisos sobre aplicaciones, bases de datos, redes, ficheros y servicios en la nube.
- Acceso físico: entrada a instalaciones, salas de servidores y soportes donde se almacena o procesa información.
La idea de fondo es el need-to-know. Es decir, que cada cada persona accede únicamente a la información imprescindible para desempeñar sus funciones, ni más ni menos. Un control de acceso bien planteado no es una barrera puntual, sino un proceso continuo que se define, se aplica, se supervisa y se revisa.
¿Qué dice la ISO 27001 sobre el control de acceso?
El control de acceso es uno de los apartados con más peso del Anexo A de la ISO 27001, y también uno de los que más cambió entre la versión de 2013 y la de 2022. Entender ese cambio evita buena parte de la confusión habitual.
En la ISO 27001:2013, todo el control de acceso vivía en el dominio A.9, con catorce controles repartidos en cuatro bloques: requisitos de negocio, gestión de acceso de usuarios, responsabilidades del usuario y control de acceso a sistemas y aplicaciones.
La ISO 27001:2022 reorganizó el Anexo A y repartió esos requisitos entre varios controles nuevos. El control de acceso como tal es ahora el 5.15, pero el detalle operativo se distribuye en otros.
¿Cómo se reparte el control de acceso en la versión 2022?
Estos son los controles de la ISO 27001:2022 que, en conjunto, cubren lo que antes era el A.9:
- 5.15 Control de acceso: establece las reglas de acceso físico y lógico según los requisitos de negocio y de seguridad (antiguos 9.1.1 y 9.1.2).
- 5.16 Gestión de identidades: ciclo de vida de las identidades, desde el alta hasta la baja del usuario.
- 5.17 Información de autenticación: gestión de contraseñas y otros credenciales de acceso.
- 5.18 Derechos de acceso: concesión, revisión y revocación de permisos.
- 8.2 Derechos de acceso privilegiado: control reforzado de las cuentas administrativas.
- 8.3 Restricción del acceso a la información: qué puede leer, escribir o borrar cada usuario.
- 8.5 Autenticación segura: procedimientos de inicio de sesión, incluida la autenticación multifactor.
Si tu documentación todavía habla del A.9, no está mal, pero conviene actualizar las referencias a la versión 2022 antes de una auditoría de certificación o de transición.
Los principios del control de acceso
Más allá de los controles concretos, la norma se apoya en unos principios que deberían guiar cualquier decisión sobre permisos. Son la base sobre la que se construye la política.
1. Mínimo privilegio y need-to-know
Estos son los principios que deberían guiar cada decisión sobre a quién se concede acceso y hasta dónde:
- Mínimo privilegio: cada usuario recibe los permisos justos para hacer su trabajo, y solo durante el tiempo que los necesita.
- Need-to-know: el acceso se concede en función de la información que la persona necesita conocer, no de su cargo o antigüedad.
- Need-to-use: el mismo criterio aplicado a la infraestructura y a las herramientas, no solo a los datos.
- Denegación por defecto: todo está prohibido salvo lo que se permite de forma expresa, y no al revés.
- Segregación de funciones: separar tareas incompatibles para que ninguna persona controle un proceso crítico de principio a fin.
2. Identificación, autenticación y autorización
Todo acceso robusto se apoya en tres pasos consecutivos que conviene no confundir:
- Identificación: el usuario declara quién es mediante un identificador único (un ID o una cuenta nominal).
- Autenticación: el sistema comprueba que es quien dice ser, a partir de algo que sabe (contraseña), algo que tiene (token, tarjeta) o algo que es (huella, rostro). Combinar dos de estos factores es la base de la autenticación multifactor.
- Autorización: una vez verificada la identidad, se determina qué acciones puede realizar sobre cada recurso.
Tipos de control de acceso: DAC, MAC, RBAC y ABAC
La ISO 27001 no impone un modelo concreto, pero sí espera que la organización elija uno coherente con su nivel de riesgo. Estos son los cuatro más habituales:
- DAC (control de acceso discrecional): el propietario de cada recurso decide quién puede acceder a él. Es flexible, pero difícil de auditar y de mantener consistente a escala.
- MAC (control de acceso obligatorio): una autoridad central define el acceso a partir de etiquetas y niveles de clasificación. Es el más estricto y se usa en entornos de alta seguridad.
- RBAC (control de acceso basado en roles): los permisos se asignan a roles, y las personas heredan los permisos de su rol. Es el modelo más extendido en empresas porque simplifica la gestión y las revisiones.
- ABAC (control de acceso basado en atributos): el acceso depende de atributos como la ubicación, el dispositivo, la hora o el tipo de dato. Permite reglas muy precisas, a costa de mayor complejidad.
En la mayoría de organizaciones, un modelo RBAC bien diseñado cubre la mayor parte de las necesidades y encaja de forma natural con la asignación de permisos por puesto de trabajo.
¿Qué debe incluir la política de control de acceso?
La política de control de acceso es un documento obligatorio. La norma exige establecerla, documentarla y revisarla periódicamente. Funciona como la declaración de qué permite y qué no permite la organización, más que como un manual técnico de cómo hacer las cosas. Quienes la definen son los propietarios de los activos, en línea con la política de seguridad y el análisis de riesgos.
Una política completa suele recoger los siguientes elementos.
- Alcance y responsabilidades: a qué sistemas e información aplica y quién aprueba, concede y revisa los accesos.
- Reglas de concesión: criterios para dar de alta, modificar y revocar permisos, basados en el mínimo privilegio.
- Gestión de identidades: uso de cuentas nominales, prohibición de cuentas compartidas y ciclo de vida del identificador.
- Accesos privilegiados: condiciones reforzadas para las cuentas administrativas y su supervisión.
- Autenticación: requisitos de contraseñas, uso de MFA y protección de credenciales.
- Acceso a redes y trabajo remoto: conexiones permitidas, VPN y acceso desde fuera de la organización.
- Revisión y trazabilidad: frecuencia de las revisiones de permisos y registro de accesos y cambios.
¿Cómo implementar el control de acceso paso a paso?
Con los principios y la política ya definidos, la implementación se puede abordar en fases ordenadas, cada una apoyada en la anterior.
Fase 1: Clasifica la información
El punto de partida es saber qué información manejas y cuánto expone su pérdida o filtración. Distinguir entre datos críticos, sensibles y públicos permite ajustar cada permiso a su nivel real de riesgo, en lugar de proteger todo por igual.
Fase 2: Define roles y reglas de acceso
Con la información clasificada, el siguiente paso es traducir los puestos de trabajo en roles con permisos concretos. Aquí es donde se aplica el mínimo privilegio, de modo que cada rol recibe solo lo que necesita para su función y las personas heredan los permisos de su rol.
Fase 3: Gestiona altas, bajas y accesos privilegiados
El ciclo de vida del acceso es donde más fallos aparecen en auditoría. Estos son los puntos críticos que conviene tener resueltos:
- Altas con identificación individual: cada persona con su propia cuenta y sus permisos aprobados formalmente.
- Bajas inmediatas: al salir un empleado, sus accesos deben revocarse de inmediato, sin depender de que alguien lo recuerde.
- Accesos huérfanos: cuentas de personas que ya no están o de proyectos cerrados que siguen activas son una puerta de entrada frecuente.
- Cuentas privilegiadas: limitadas a quien las necesita, con autenticación reforzada y registro de su uso.
Fase 4: Refuerza la autenticación
Definir quién accede no sirve de nada si la identidad no se comprueba bien. Conviene exigir contraseñas robustas y activar la autenticación multifactor (MFA) en los accesos sensibles y, sobre todo, en las cuentas privilegiadas.
Fase 5: Revisa y monitoriza los accesos
Un control de acceso no se implanta una vez y se olvida. La norma espera revisiones periódicas que confirmen que cada permiso sigue justificado, sobre todo tras cambios de puesto, promociones o salidas. Una revisión trimestral, con los responsables validando los accesos de su equipo, mantiene el sistema alineado con la realidad y evita hallazgos en la auditoría. A esto se suma la monitorización continua, que deja traza de quién accede a qué y ayuda a detectar comportamientos anómalos.
¿Cómo Factorial IT ayuda con el control de acceso?
Gestionar accesos a mano se vuelve inviable cuando hay rotación de personal, dispositivos remotos y decenas de aplicaciones SaaS. Factorial IT centraliza esa gestión y la conecta con Recursos Humanos, de forma que los permisos acompañan al ciclo de vida del empleado.
- Provisión y desprovisión automática: los accesos a las herramientas SaaS se conceden en el onboarding y se retiran en el offboarding sin pasos manuales.
- Revocación inmediata en la salida: cuando un empleado deja la empresa, sus accesos se revocan de inmediato y queda registro, lo que cierra el problema de las cuentas huérfanas.
- Visibilidad en tiempo real: un mapa actualizado de quién tiene acceso a qué, disponible cuando lo necesitas.
- Políticas de dispositivo y contraseñas: cifrado, bloqueo remoto y políticas de seguridad por perfil sobre equipos Mac, Windows y Linux.
- Evidencias para auditoría: registros e informes exportables que documentan altas, bajas y cambios de permisos.
