Análisis de Hallazgo - Dayerling Camejo

Hallazgo

• Ausencia de una política de control de acceso de red que defina claramente cómo se otorga y se restringe el acceso a las subredes particularmente en lo que respecta a la movilidad de dispositivos. 

• No cumple con la norma para Control A.9.1.1: Política de control de acceso (Access control policy) de ISO/IEC 27002:2013 
• No cumple con la norma para Control A.5.15: Control de acceso (Access control) de ISO/IEC 27002:2022

 

Consecuencia

• La falta de una política clara y aplicada genera una inconsistencia en los controles de seguridad de la red.
• Los usuarios pueden conectar sus dispositivos en cualquier segmento de red sin controles de autenticación, lo que aumenta el riesgo de accesos no autorizados y facilita la propagación de malware o el movimiento lateral de un atacante dentro de la red.
• La organización pierde control sobre quién y qué dispositivo se conecta a cada segmento.

Recomendación/Propuesta de mejora

• Desarrollar e implementar una política de control de acceso de red que incluya requisitos para la autenticación de dispositivos y usuarios al conectarse a diferentes segmentos de red (ej., autenticación 802.1X), y que aborde específicamente la movilidad de PCs entre los pisos.
• Cumplimiento con:
• ISO/IEC 27002:2013, Control A.9.1.1 (Política de control de acceso)
• ISO/IEC 27002:2022, Control A.5.15 (Control de acceso)

 

Participante:
Dayerling Camejo