Seguridad Lógica

Question 1

Controles de acceso

Answer 1

1. Identificadores únicos, no serán compartidos.
2. Usuarios personales e intransferibles; excepto! Usuarios genéricos para tareas específicas.
3. Las excepciones deben ser documentadas para mantener la responsabilidad funcional de los involucrados en dichas tareas.
4. El acceso a las contraseñas de usuarios genéricos o predefinidos estará restringido sobre la base de los principios:
   a) Necesidad de saber
   b) Necesidad de hacer
5. Toda solicitud de alta, baja o modificación de usuarios o privilegios de acceso a sistemas y servicios informáticos deben estar debidamente autorizados
6. Existencia de proceso formal para administrar las solicitudes de altas, bajas y modificaciones de usuarios.
7. Los privilegios de acceso de los usuarios, sistemas y programas deben estar restringidos sobre los principios:
   a) necesidad de hacer
   b) necesidad de saber
   c) separación de funciones
   d) oposición de intereses.

Question 2

Autenticación de los usuarios

Answer 2

1. Identificador único; usuario y contraseña al inicio de cada sesión.
2. Reglas de las contraseñas definidas por División a Informática
   a) cambiar la contraseña de forma obligatoria cada determinado tiempo
   b) cambiar la contraseñas la primera vez después de un alta o modificación
   c) las contraseñas no pueden reutilizarse antes de una cantidad definida de cambios de contraseña
   d) largo y complejidad suficiente para desestimar ataques de deducción, de diccionario o de fuerza bruta.
   e) las contraseñas deben memorizarse; excepto las contraseñas de administración. Las mismas se guardarán cifradas para una eventual recuperación. Las deben saber Jefe de P y S, Gte informática, gte gral.
   f) No usar el “recordar contraseña” de las web

Question 3

Revocación de derechos de acceso

Answer 3

1. Deben revisarse los derechos individuales de acceso cuando cambian las tareas del usuario
2. Se debe bloquear el acceso a un usuario si no es utilizado por un determinado periodo de tiempo
3. Derechos de acceso revocados cuando termina el vínculo con la Caja
4. Se generará un mail automático por al menos 6 meses a partir de la revocación de los derechos del usuario

Question 4

Controles de seguridad

Answer 4

1. Sesión bloqueada después de determinado periodo sin actividad
2. Nro. De usuarios con permiso de administración sobre sistemas de control de acceso restringido al mínimo indispensable
3. Debe haber oposición de intereses y separación de funciones entre Adm. de sistemas de control de accesos y adm. De recursos
4. Los admin. De informática no deben acceder a los equipos de los usuarios sin su consentimiento, incluyendo la asistencia remota.
5. Ante una investigación administrativa no se podrá acceder a la información sin un debido proceso.