Ajusta el acceso al propósito
Parte del alcance aprobado de evidencia y acciones. Prefiere roles admitidos por el proveedor, acceso delegado o credenciales de corta duración que puedan revisarse y revocarse. Usa acceso de solo lectura cuando la recopilación y evaluación no requieran cambios.
La recopilación de datos y la respuesta necesitan permisos distintos. No concedas permisos para modificar sistemas si una conexión solo necesita leer datos.
Lista de acceso
- Usa una identidad dedicada para la conexión en lugar de la cuenta diaria de una persona cuando el proveedor lo permita.
- Limita el alcance de recursos, acciones, regiones y duración a la necesidad aprobada.
- Mantén los secretos en el canal protegido aprobado y nunca los pegues en tickets de soporte ni documentación pública.
- Activa los registros de auditoría del proveedor y registra al responsable de la conexión.
- Define una fecha de revisión y revocación antes de conceder el acceso.
Revisa después de cambios y elimina al finalizar
Vuelve a comprobar el acceso después de una migración del proveedor, ampliación del alcance, fallo de conexión, cambio de rol o nuevo requisito de respuesta. Revoca el acceso de evaluación cuando termine la evaluación y elimina el acceso sin demora al retirar una conexión.