Evidencias demostradas

[davidbeig]

Issue para poder mantener un listado de las evidencias que ya se han demostrado y cuales quedan por demostrar

•  [op.acc.6.r2.1] Se requerirá un segundo factor tal como un dispositivo, una contraseña de un solo uso (OTP, en inglés) como complemento a la contraseña de usuario - Refuerzo R2-Contraseña + otro factor de autenticación.
• Evidencia Doble factor en los principales servicios Refuerzo R5-Registro.
  – [X] [op.acc.6.r5.1] Se registrarán los accesos con éxito y los fallidos. Evidencia: captura del registro de accesos
• R8. al realizarse todos los accesos a través de Internet, se exige MFA en todos los servicios
• R9. Firewall o VPN para acceso remoto. Evidencia: Captura de la consola y acceso
• 17 OPER OP_ACC_2 REQUISITOS : listado de usuarios desde la Consola Google Drive, Hetzner, Github con nombre apellidos y rol+grupos/unidades organizativas y roles evidencias
• 16 OPER OP_ACC_1 IDENTIFICACION: https://drive.google.com/drive/u/0/folders/1RnaGz3qgageXDZVDvdEeIvm9FknUYZn0

Documentos:

• Política de contraseñas
• Política de gestión de accesos
• Matriz distribución de responsabilidad
• Gestión de capacidades
• Diagrama de infraestructura

Refuerzos

Control de acceso:
Refuerzo R1-Contraseñas.

•  [op.acc.5.r1.1] Se empleará una contraseña como mecanismo de autenticación.
• [op.acc.5.r1.2] Se impondrán normas de complejidad mínima y robustez frente a ataques de adivinación (ver guías CCN-STIC). Refuerzo R2-Contraseña + OTP.
• [op.acc.5.r2.1] Se requerirá una contraseña de un solo uso (OTP, en inglés) como complemento a la contraseña de usuario.

Refuerzo R5-Registro.

• [op.acc.5.r5.1] Se registrarán los accesos con éxito y los fallidos. -> Desenvolupament per afegir log d'accessos a admin
• [op.acc.5.r5.2] Se informará al usuario del último acceso efectuado con su identidad.
  R efuerzo R6-Limitación de la ventana de acceso.
• [op.acc.5.r6.1] Se definirán aquellos puntos en los que el sistema requerirá una renovación de la autenticación del usuario, mediante identificación singular, no bastando con la sesión establecida.
  Refuerzo R7-Suspensión por no utilización.
• [op.acc.5.r7.1] Las credenciales se suspenderán tras un periodo definido de no utilización.