Políticas y control de cuentas de usuario (UAC): definición y propósito

¿Qué es el control de acceso de usuarios?

El control de acceso de usuarios (UAC) se define como la capacidad de una organización y sus sistemas para permitir o denegar a un usuario o a un objeto el acceso a sus sistemas y recursos. Se puede restringir el acceso de un usuario a un programa, base de datos o archivo. Un objeto en esta definición representa entidades pasivas como un sistema o un proceso. Los sistemas y procesos bajo la UAC también tienen restringido el acceso a otros procesos y programas.

La UAC puede compararse con un sistema de visas consulares. Los viajeros que deseen ingresar a un determinado país del cual no son ciudadanos deben cumplir ciertas condiciones antes de que se les emita una visa para permitir la entrada.

Componentes del control de acceso de usuarios

La UAC consta de tres componentes principales. Cada uno de estos componentes se rige por un conjunto de políticas de la UAC que conforman la política de gestión. Los tres componentes son:

• La identificación y la autenticación son dos procesos que determinan quién o qué, si es que tiene acceso, a cualquiera de los sistemas y recursos. Sin la identificación y autorización adecuadas, las políticas dictan que no se concede absolutamente ningún acceso al sistema o recurso. Sin un pasaporte válido, exclusivo de un individuo, no se concede la visa.
• La autorización determina a qué puede acceder un usuario u objeto autorizado y el alcance de ese acceso. Como no inmigrante, puede comprar en cualquier centro comercial o tienda, pero no tiene derecho a acceder al sistema nacional de atención médica gratuito como lo haría un nacional.
• La rendición de cuentas identifica y establece exactamente qué hizo el usuario o el proceso dentro del sistema una vez que se le concedió el acceso.

Políticas de control de acceso de usuarios

Estas políticas detallan los detalles que se utilizan para hacer cumplir las restricciones mediante los controles de acceso de los usuarios a los sistemas.

Políticas de identificación

1. Acceso de usuario: los usuarios deben revelar su identidad al sistema. Esto significa que el usuario debe decirle al sistema quién es. Esto se hace mediante el uso de un nombre de usuario.

2. Acceso a objetos: el sistema debe identificar el objeto que solicita acceso al sistema utilizando un identificador coincidente previamente almacenado en su base de datos. La identificación se logra mediante el uso de identificadores como nombres de computadoras, direcciones MAC, direcciones IP (Protocolo de Internet) o números de identificación de procesos (PI).

Las políticas de identificación requeridas deben:

• identificar de forma única al usuario u objeto. El parámetro de identificación debe ser exclusivo de ese individuo o proceso únicamente. No puede haber dos personas con el mismo nombre de usuario, por ejemplo, ”jackie27”, en el sistema.
• No identificar a los usuarios en función de la importancia relativa (designación) con respecto a la organización.
• No debe ser un nombre de cuenta compartido o de uso común, como “usuario”, “proceso”, “admin”, “sysadmin” o “root”.

Políticas de autenticación

Las políticas de autenticación requeridas deben:

• basarse en algo conocido y personal para el usuario, como una contraseña secreta o un número de identificación único. Esta debe ser información que sólo conozca el propietario de la cuenta. Las contraseñas deben establecerse de acuerdo con las políticas de contraseñas de la administración. Las políticas de contraseñas más estrictas dictan el contenido de la contraseña y no deben contener grupos, letras o palabras idénticas al nombre de usuario. Por ejemplo, al nombre de usuario ”Jackie27” no se le permitirá tener una contraseña ”Jackie279”. Esta se considera una contraseña muy débil. Las políticas de contraseñas también dictan la cantidad mínima de caracteres con reglas de seguridad adicionales que incluyen el uso obligatorio de un número y una letra mayúscula.
• basarse en una pieza de hardware de autenticación utilizada para desbloquear la cuenta; como una tarjeta inteligente o un token que siempre está en posesión exclusiva del propietario.
• basarse en alguna característica física o identificación biométrica. La ciencia ha establecido que no hay dos personas perfectamente idénticas. Como tal, características como las huellas dactilares, el reconocimiento del iris y el reconocimiento de voz se han convertido en características aceptadas internacionalmente para la autenticación.

Políticas de autorización

Una vez que un usuario se identifica y autentica exitosamente, existe un sistema que define los derechos y permisos del usuario. Estos permisos están preestablecidos durante la creación de la cuenta o la actualización reciente del acceso autorizado. Los permisos limitan el alcance del acceso que tiene el usuario dentro del sistema. Los permisos están en tres niveles:

• Leer: permite al usuario leer un archivo o enumerar el contenido de un directorio. Básicamente, el usuario sólo puede ver el contenido del recurso al que accede.
• Escritura: permite al usuario modificar el contenido del archivo o directorio con permiso para crear, agregar, eliminar o cambiar el nombre del archivo.
• Ejecutar: permite a un usuario ejecutar un programa si el archivo al que se accede es un archivo ejecutable.

Políticas de rendición de cuentas

Establecer quién accedió a un sistema, cuándo se accedió y qué se hizo exactamente durante ese acceso está determinado además por programas de auditoría incorporados conocidos como registros de sistemas y pistas de auditoría. Existen programas diseñados específicamente para rastrear, vincular e informar cada acción con su acceso de usuario asociado. Detectan e informan de cualquier violación de seguridad y sus características históricas se utilizan para recrear cualquier incidente de anomalía o violación de seguridad.

Sin embargo, debe existir un cronograma regular donde los registros y pistas de auditoría se monitoreen continuamente. La falta de supervisión y de seguridad adecuada puede hacer que dichos expedientes sean inadmisibles ante los tribunales. Como cualquier activo valioso almacenado, deben ser monitoreados y protegidos.

Resumen de la lección

El Control de Acceso de Usuario (UAC) se define como la capacidad de una organización y sus sistemas para permitir o denegar a un usuario o a un objeto el acceso a sus sistemas y recursos. Consta de tres componentes principales: Identificación y Autenticación, Autorización y Responsabilidad. Estos tres componentes determinan qué usuario o recurso puede acceder a un sistema, el alcance de su acceso e identifica en cualquier momento qué se hizo exactamente en el sistema, respectivamente. Estos controles de acceso se rigen además por Políticas de control de acceso de usuarios que sirven para detallar los detalles que se utilizan para hacer cumplir las restricciones de los controles de acceso de usuarios en los sistemas.