MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1.1 Otorgar acceso a servicios que requieren mayor nivel de seguridad o que involucran medios de
pago sólo para usuarios autorizados. Se requiere limitar el acceso solo para usuarios identificados
y autenticados apropiadamente.
PS1.2 Otorgar los mínimos privilegios de acceso a servicios que requieren mayor nivel de seguridad. Se
requiere minimizar el daño potencial causado por usuarios autorizados lo cual implica establecer
segregación de funciones para separar usuarios de los servicios y usuarios con roles
administrativos.
PS1.3 Otorgar acceso a servicios que requieren mayor nivel de seguridad condicionado a la presentación
de un token de acceso 15 expedido por un tercero en representación de la entidad de gobierno
proveedora del servicio. Se debe fortalecer el control de acceso para las transacciones que
requieran mayor nivel de seguridad.
PS1.4 Otorgar acceso a servicios que requieren mayor nivel de seguridad condicionado a la presentación
de información que soporte la identidad del individuo que requiere el acceso y sus credenciales de
autenticación. Se debe implementar la autenticación personal más allá de la posesión del token.
PS1.5 Otorgar privilegios de acceso a servicios de Gobierno en Línea sólo cuando se satisfaga la
verdadera identidad del usuario, es decir que el usuario sea quien realmente dice que es y no esté
registrado bajo otra identidad con un acceso legítimo. Se debe prevenir la creación de múltiples
identidades. Un usuario puede tener múltiples roles con respecto a los servicios de Gobierno en
Línea pero solo puede poseer una única identidad.
PS1.6 Otorgar acceso a los usuarios sobre los servicios y o activos necesarios para soportar el servicio
específico requerido. Se deben fortalecer los controles de acceso a nivel de objeto o aplicación, de
manera que un usuario legítimo, una vez otorgado el acceso, no pueda alterar datos no requeridos
por el servicio solicitado.
PS1.7 Implementar una administración efectiva de los derechos de acceso de usuarios y asignar dicha
responsabilidad al personal apropiado (administradores de accesos).
PS1.8 Implementar la vigencia de los derechos de acceso y su revocación, una vez finalice el período
asignado, o haya pérdida de las credenciales, o se detecte uso indebido de los recursos por parte
de los usuarios. Las credenciales de acceso y los tokens deben quedar inválidos ante eventos de
revocación.
15 Token de acceso: es un medio físico que un usuario posee y/o controla y lo utiliza para autenticar su identidad.
Página 55 de 207