Politicas de Contraseñas

Se debiera advertir a todos los usuarios que:
a) mantener confidenciales las claves secretas;
b) evitar mantener un registro (por ejemplo, papel, archivo en software o

dispositivo
manual) de las claves secretas, a no ser que este se pueda mantener almacenado
de
manera segura y el mtodo de almacenaje haya sido aprobado;
c) cambio de claves secretas cuando haya el menor indicio de un posible peligro en

el
sistema o la clave secreta;
d) seleccionar claves secretas de calidad con el largo mnimo suficiente que sean:
1) fciles de recordar;
2) no se basen en nada que otro pueda adivinar fcilmente u obtener utilizando la
informacin relacionada con la persona; por ejemplo, nombres, nmeros
telefnicos y fechas de nacimiento, etc.
3) no sean vulnerables a los ataques de diccionarios (es decir, que no consista de
palabras incluidas en los diccionarios);
4) libre de caracteres consecutivos idnticos, todos numricos o todos alfabticos;
e) cambio de las claves secretas a intervalos regulares o en base al nmero de

accesos
(las claves secretas para las cuentas privilegiadas se debieran cambiar con mayor
100
frecuencia que las claves secretas normales), y evitar el re-uso de reciclaje de

claves
secretas antiguas;
f) cambiar la clave secreta temporal en el primer registro de ingreso;

g) no incluir las claves secretas en ningn proceso de registro automatizado; por
ejemplo, almacenado en un macro o funcin clave;
h) no compartir las claves secretas individuales;
i) no usar la misma clave personal para propsitos comerciales y no-comerciales
Si los usuarios necesitan tener acceso a mltiples servicios, sistemas o

plataformas, y
requieren mantener mltiples claves secretas separadas, se les debiera advertir

que pueden
utilizar una sola clave secreta de calidad (ver d) en el prrafo anterior) para todos
los servicios
donde se le asegura al usuario que se ha establecido un nivel de proteccin

razonable para el
almacenaje de la clave secreta dentro de cada servicio, sistema o plataforma.
11.3.2 Equipo del usuario desatendido
Control
Los usuarios debieran asegurar que el equipo desatendido tenga la proteccin

apropiada.
Lineamiento de implementacin
Todos los usuarios debieran estar al tanto de los requerimientos de seguridad y los
procedimientos para proteger el equipo desatendido, as como sus

responsabilidades para
implementar dicha proteccin. Se debiera comunicar a los usuarios que debieran:
a) cerrar las sesiones activas cuando se termina, a no ser que puedan asegurarse
con
un mecanismo de cierre apropiado; por ejemplo, protector de pantalla asegurado
mediante clave secreta;

b) salir de las computadoras mainframe, servidores y PCs de oficina cuando se
termina
la sesin (es decir, no slo apagar la pantalla de la PC o Terminal);
c) asegurar las PCs o terminales contra un uso no autorizado mediante un seguro

con
clave o un control equivalente; por ejemplo, acceso con clave secreta, cuando no
est en uso (ver tambin 11.3.3).
Otra informacin
101
El equipo instalado en las reas de usuarios; por ejemplo estaciones de trabajo o

servidores
de archivo; puede requerir proteccin especfica contra el acceso no autorizado

cuando se
deja desatendido durante un perodo e tiempo extendido.
a) autenticar a los usuarios autorizados, en concordancia con una poltica de

control
de acceso definida;
b) registrar los intentos exitosos y fallidos de autenticacin del sistema;
c) registrar el uso de los privilegios especiales del sistema;
d) emitir alarmas cuando se violan las polticas de seguridad del sistema;
e) proporcionar los medios de autenticacin apropiados;
f) cuando sea apropiado, restringir el tiempo de conexin de los usuarios

Lineamiento de implementacin
Un sistema de gestin de claves secretas:
a) aplicar el uso de IDs de usuarios individuales y claves secretas para mantener la
responsabilidad;
b) permitir a los usuarios seleccionar y cambiar sus propias claves secretas e incluir
un
procedimiento de confirmacin para permitir errores de input;
c) aplicar la eleccin de claves secretas adecuadas (ver 11.3.1);
d) aplicar los cambios de claves secretas (ver 11.3.1);
e) obligar a los usuarios a cambiar las claves secretas temporales en su primer

ingreso
o registro (ver 11.2.3);
f) mantener un registro de claves de usuario previas y evitar el re-uso;
g) no mostrar las claves secretas en la pantalla en el momento de ingresarlas;
h) almacenar los archivos de claves secretas separadamente de la data del sistema

de
aplicacin;
i) almacenar y transmitir las claves secretas en un formato protegido (por ejemplo,
codificado o indexado).

Politicas de Contraseñas

Cargado por

Copyright:

Formatos disponibles

Politicas de Contraseñas

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Politicas de Contraseñas

Cargado por

Copyright:

Formatos disponibles

Se debiera advertir a todos los usuarios que:

a) mantener confidenciales las claves secretas;

b) evitar mantener un registro (por ejemplo, papel, archivo en software o

manera segura y el mtodo de almacenaje haya sido aprobado;

c) cambio de claves secretas cuando haya el menor indicio de un posible peligro en

sistema o la clave secreta;

2) no se basen en nada que otro pueda adivinar fcilmente u obtener utilizando la

informacin relacionada con la persona; por ejemplo, nombres, nmeros

telefnicos y fechas de nacimiento, etc.

3) no sean vulnerables a los ataques de diccionarios (es decir, que no consista de

palabras incluidas en los diccionarios);

4) libre de caracteres consecutivos idnticos, todos numricos o todos alfabticos;

e) cambio de las claves secretas a intervalos regulares o en base al nmero de

frecuencia que las claves secretas normales), y evitar el re-uso de reciclaje de

f) cambiar la clave secreta temporal en el primer registro de ingreso;

ejemplo, almacenado en un macro o funcin clave;

h) no compartir las claves secretas individuales;

i) no usar la misma clave personal para propsitos comerciales y no-comerciales

Si los usuarios necesitan tener acceso a mltiples servicios, sistemas o

requieren mantener mltiples claves secretas separadas, se les debiera advertir

donde se le asegura al usuario que se ha establecido un nivel de proteccin

almacenaje de la clave secreta dentro de cada servicio, sistema o plataforma.

11.3.2 Equipo del usuario desatendido

Los usuarios debieran asegurar que el equipo desatendido tenga la proteccin

procedimientos para proteger el equipo desatendido, as como sus

implementar dicha proteccin. Se debiera comunicar a los usuarios que debieran:

un mecanismo de cierre apropiado; por ejemplo, protector de pantalla asegurado

mediante clave secreta;

la sesin (es decir, no slo apagar la pantalla de la PC o Terminal);

c) asegurar las PCs o terminales contra un uso no autorizado mediante un seguro

est en uso (ver tambin 11.3.3).

El equipo instalado en las reas de usuarios; por ejemplo estaciones de trabajo o

de archivo; puede requerir proteccin especfica contra el acceso no autorizado

deja desatendido durante un perodo e tiempo extendido.

a) autenticar a los usuarios autorizados, en concordancia con una poltica de

b) registrar los intentos exitosos y fallidos de autenticacin del sistema;

c) registrar el uso de los privilegios especiales del sistema;

d) emitir alarmas cuando se violan las polticas de seguridad del sistema;

e) proporcionar los medios de autenticacin apropiados;

f) cuando sea apropiado, restringir el tiempo de conexin de los usuarios

Un sistema de gestin de claves secretas:

a) aplicar el uso de IDs de usuarios individuales y claves secretas para mantener la

procedimiento de confirmacin para permitir errores de input;

c) aplicar la eleccin de claves secretas adecuadas (ver 11.3.1);

d) aplicar los cambios de claves secretas (ver 11.3.1);

e) obligar a los usuarios a cambiar las claves secretas temporales en su primer

o registro (ver 11.2.3);

f) mantener un registro de claves de usuario previas y evitar el re-uso;

g) no mostrar las claves secretas en la pantalla en el momento de ingresarlas;

h) almacenar los archivos de claves secretas separadamente de la data del sistema

i) almacenar y transmitir las claves secretas en un formato protegido (por ejemplo,

También podría gustarte