ANEXO I

NORMAS DE CONTROL DE ACCESOS LÓGICOS

Introducción

Los controles de acceso lógico permitirán únicamente el ingreso a los usuarios autorizados por la dependencia correspondiente, y en el nivel asignado, sobre los datos o sistemas necesarios para desempeñar sus tareas habituales.  Cabe aclarar que el término “Sistema” abarca a sistemas operativos, plataformas y/o aplicaciones tanto a nivel central (SIDIF gráfico y caracter) como local (CONPRE, SIGRAC, SLU, etc).

Normativa

1.   Se deberá documentar un procedimiento, difundido en toda la Organización, para solicitar y dar efectivamente el alta, la baja, la modificación y la rehabilitación de usuarios en cualquier sistema.

En el caso de que una persona se desvincule del sector donde desempeñaba sus funciones, el Superior de la misma solicitará en forma perentoria la baja del usuario y el Administrador lo inhabilitará inmediatamente en el sistema que corresponda.

Cuando se produzca la ausencia prolongada de un  agente de sus funciones, su  Superior inmediato solicitará, conforme los procedimientos previstos en el Anexo II,  la inhabilitación temporaria de los accesos del usuario.

Todo Usuario inhabilitado solicitará la rehabilitación a su Superior inmediato y  éste al Administrador por los medios instrumentados en el procedimiento mencionado anteriormente.  El Administrador del Sistema es el único autorizado a rehabilitar un usuario.

2.   Cada persona autorizada a ingresar a los Sistemas tendrá en principio una única identificación personal (login) para el acceso a cualquier plataforma de hardware o software donde esté autorizado. La relación entre la persona y su identificación es biunívoca, es decir, a una persona le corresponde una única identificación, y una identificación sólo se relaciona con una persona.

Esta relación vale para todos los usuarios excepto para los supervisores de los sistemas operativos (ej.: root, administrador, etc.) o los definidos por defecto en otros productos instalados (dba, oracle, system, etc.) que no puedan ser cambiados.  Se deberá contar con una única persona responsable de las claves.

3.   Por lo anterior, no deberán existir usuarios genéricos (usuarios agrupados bajo un password común para todos ellos) para la aplicación. 

Si por razones técnicas o propias de la administración es necesaria la existencia de usuarios genéricos para el SIDIF Central, estos deberán ser aprobados conjuntamente por la Contaduría General de la Nación y la Unidad Informática  previa opinión del área de Seguridad Informática.

4.   Se deshabilitarán todas las cuentas del proveedor que vengan instaladas por defecto en el producto adquirido (sistema operativo, software de base, herramienta, aplicación, etc.). Si no fuera técnicamente posible, se restringirán sus permisos de forma tal de reducir al mínimo sus posibilidades de acceso a todos los recursos.

Asimismo se inhabilitarán cuentas de invitado “guest”.

Se verificará el cumplimiento de estos ítems luego de la instalación de cada versión, upgrade, patch, fix, etc.

5.   Todo usuario en cualquier servidor o plataforma tendrá, sin excepción, una clave de ingreso (password).  Sólo él y el Administrador del Sistema,  podrán cambiarla cuando lo deseen, y especialmente cuando sospeche que pueda estar comprometida o ser conocida por otros.

La responsabilidad del usuario de guardar en secreto su clave personal deberá quedar documentada en forma escrita.

6.   La clave inicial del usuario se entregará utilizando un procedimiento seguro, verificando la identidad de la persona en forma fehaciente, y garantizando que sólo él es el que toma conocimiento de la misma.

Por excepción, la clave podrá ser retirada por un tercero contra la presentación de una nota formal debidamente firmada y autorizada por el interesado.

7.   Preferentemente, las claves de ingreso de todos los usuarios estarán sujetas a las siguientes reglas:

Deberá tener una longitud de SEIS (6) caracteres como mínimo, conteniendo al menos una  letra mayúscula, una minúscula y un  número.

No deberá coincidir con la última clave elegida por el usuario, es decir, la nueva clave seleccionada deberá ser distinta a su clave anterior.

Se deberá cambiar la clave inicial asignada.  Es decir, cuando el usuario ingrese por primera vez con su nueva clave el sistema lo obligará al cambio de la misma.

Deberá tener una vigencia máxima de TREINTA (30) días corridos. El sistema deberá obligar al usuario a cambiar la clave vencido ese plazo

Deberá advertir sobre el vencimiento del período de validez durante los últimos CINCO (5) días anteriores al cumplimiento de la vigencia máxima.  Durante ese período el sistema avisará al usuario que deberá cambiar su clave.

8.  Cuando el sistema cuente con la opción de generación aleatoria de password, deberá ser utilizada para obtener las claves de los usuarios nuevos o rehabilitados.

9    El tercer intento consecutivo de ingreso erróneo deberá producir, por parte del sistema, el bloqueo automático del usuario. El acceso vuelve a ser otorgado por autorización del superior solicitando la rehabilitación. (ver Glosario)

10. Quedará automáticamente inhabilitado por el sistema el usuario que no ingrese al mismo en un período de SESENTA (60) días corridos.

A los NOVENTA (90) días corridos de haberse producido esta inhabilitación el usuario será automáticamente dado de baja.

11. Los administradores deben asegurarse que las passwords se almacenen y/o transmitan  en forma encriptada. Asimismo, la password no deberá exhibirse en ninguna forma.

Los programas de control de accesos, y los archivos de identificación (IDs),  passwords y grupos de usuarios deberán estar protegidos para evitar su consulta por parte de cualquier persona, excepto los administradores de seguridad.

12. Los Administradores deberán monitorear y controlar como mínimo lo siguiente:

La existencia de usuarios sin password o con passwords fácilmente decifrables, ejecutando programas especiales (crackers).

El bloqueo de cualquier tipo de usuario. En el caso de usuarios con nivel de supervisión o privilegios especiales se deberá reconfirmar personalmente la causa de la inhabilitación.

Los accesos exitosos en horarios y/o terminales sospechosas y los accesos fallidos en todo momento.

El uso de utilitarios sensitivos, tal como editores de archivos, en el ambiente de producción.

      Las actividades de los usuarios con atributos de administración o privilegios especiales, especialmente cambios de usuarios, perfiles y reglas de seguridad.

Que los usuarios habilitados en los sistemas pertenezcan a personas activas en el organismo.

Que los grupos sensitivos estén restringidos a aquellos usuarios que realmente deban pertenecer.

13. El sistema deberá generar logs y pistas de auditoría en forma automática, con la información mínima necesaria para realizar en forma eficiente los controles detallados en el punto anterior. 

Los resguardos de la información de actividades de usuarios y las pistas de auditoría se realizarán utilizando soportes ópticos, de preferencia no reutilizables (CDs, etc.).

Los procedimientos de generación y grabación de estos archivos serán automáticos, a fin de evitar su modificación, se realizarán semanalmente y esta información se retendrá por TRES (3) años.

14. El sector de Microinformática del área verificará la instalación del software autorizado en cada  computadora,  indicando como mínimo fecha, hora, responsable, identificación del producto y motivo que lo justifica.

Seguridad de  Puestos de Trabajos 

      Se recomienda desactivar cualquier terminal que no registre actividad por un período máximo de VEINTE (20) minutos. Como alternativa puede usarse un “protector de pantalla” con password.  Estos protectores de pantalla deberán ser los originales de los sistemas operativos.

      Asimismo es recomendable que las Pcs usadas como puestos de trabajo de usuarios tengan password de arranque, configuradas en la BIOS.  Lo mismo se recomienda para los servidores donde se ejecute el sistema.

Glosario 

1-   ALTA: es la generación de una nueva cuenta de usuario. Para ello se solicitan los datos personales del usuario, denominación del organismo, teléfono, cuenta de mail y roles asociados. (Ver procedimiento y modelo de planilla en Anexos II y III) 

2-     BLOQUEO:  es una medida preventiva que puede producirse por dos situaciones:

 -  Usuarios que dentro de un período de SESENTA (60) días corridos no ingresan al Sistema.

 -   Usuarios que exceden los TRES (3) intentos fallidos de conexión.

En ambos casos se interrumpe el acceso, el cual vuelve a ser otorgado por autorización del superior quien solicita la rehabilitación. 

3-     REHABILITACION: vuelve a estado operativo la cuenta original del usuario, que se encontraba bloqueada por las causales indicadas en el punto anterior. Deberá ser autorizada por un superior, conforme los procedimientos determinados en los Anexos II y III. Además del nombre de cuenta, conserva los  roles ya definidos. 

4-     BAJA: es una medida extrema que implica pérdida de la cuenta y todos sus atributos. Puede producirse por tres casos: 

a) Usuarios que cambian de sector dentro del organismo.

El funcionario jerárquico correspondiente debe informar el cambio a la brevedad y solicitar el alta en su nueva función. 

b) Usuarios que no pertenecen más al organismo.

El funcionario jerárquico correspondiente debe informar la desvinculación conforme los procedimientos vigentes. 

c) Usuarios que no ingresaron al sistema durante  CIENTO CINCUENTA (150) días corridos.

El sistema en forma automática deberá proceder a la baja del usuario.

Para la habilitación de un usuario dado de baja, el funcionario pertinente podrá solicitar que se dé el alta del agente, conforme se indica en el punto 1 precedente.