CIP-1 - Inventario de Identidad

Definición de Control

Es necesario mantener un inventario completo y actualizado de todas las identidades humanas y no humanas con acceso a recursos organizacionales, integrado con el proveedor de identidad y el sistema de recursos humanos para reflejar su estado real. Es necesario gestionar el ciclo de vida de cada identidad desde su creación hasta su baja, asignar un propietario y un propósito a cada identidad no humana, y desactivar aquellas que ya no tengan uso o propietario activo.

Requisitos

Requisito 1

Mantenemos un registro completo y actualizado de todas las identidades —humanas— que tienen acceso a recursos organizacionales.

Requisito 2

Mantenemos un registro completo y actualizado de todas las identidades —no humanas— que tienen acceso a recursos organizacionales.

Requisito 3

Definimos los atributos mínimos del inventario de identidades: ID único, tipo, estado, propietario, última actividad y fecha de revisión.

Requisito 4

Definimos los mecanismos de gestión del ciclo de vida de las identidades: onboarding.

Requisito 5

Definimos los mecanismos de gestión del ciclo de vida de las identidades: cambios.

Requisito 6

Definimos los mecanismos de gestión del ciclo de vida de las identidades: offboarding.

Requisito 7

Asignamos a cada identidad no humana un propietario humano, un propósito documentado y una fecha de expiración.

Requisito 8

Integramos el inventario de identidades con el proveedor de identidad centralizado (IdP).

Requisito 9

Integramos el inventario de identidades con el sistema de RRHH (HRIS - Human Resources Information System).

Requisito 10

Gestionamos un IdP 100% en nube en modelos responsabilidad compartida SaaS, como por ejemplo: EntraID.

Requisito 11

Reconciliamos automáticamente el inventario IdP con una frecuencia programada.

Requisito 12

Identificamos y desactivamos las identidades no humanas sin propietario activo o sin uso en un período definido por la organización.