D-SOP-07 / Negativa de accesos
- Daniela Contrafatto
Alcance
El presente documento tiene como objetivo dejar plasmados los motivos por los cuáles desde Neotel no proveemos usuarios administradores, así como también por qué no se procede con la instalación de software no homologado.
Usuarios
Es posible acceder a los servidores NEOTEL mediante RDP o de manera física. Los accesos por escritorio remoto están permitidos para los siguientes accesos:
Cliente
Soporte Nivel 1
Soporte Nivel 2
Soporte Nivel 3
Administrador
Es importante mencionar que, a excepción de la cuenta cliente, ningún acceso anteriormente nombrado posee clave fija. Por tal motivo cada empleado posee un usuario personal e intransferible con factor de doble autenticación.
Cada cuenta correspondiente al personal al que se le permite acceso posee restricciones de lectura/escritura sobre el árbol de directorios.
Lo mismo sucede con los servicios y aplicaciones autorizadas, ya que estos se ejecutan bajo una cuenta de usuario cuyos permisos de lectura/escritura se encuentran restringidos a las acciones que realizan.
Por último, si es requerido realizar una modificación sobre configuraciones del sistema operativo o del funcionamiento estructural de la plataforma, se debe acceder con una cuenta administrador.
Para acceder a dicha cuenta es necesario registrarse pasando también por un control de doble autentificación, pero, a diferencia de los usuarios de soporte, solo el personal autorizado (directores y personal de alto nivel de Infraestructura) tienen acceso al TOKEN requerido por el sistema.
De esta forma se garantiza que:
• Todas las acciones queden registradas en logs correspondientes a las cuentas utilizadas.
• Se facilita la búsqueda de causantes de anomalías.
• Se reduce el riesgo de accesos y acciones no autorizadas
• Se evita que cuentas de acceso restringidos puedan realizar escaladas de privilegios.
La utilización de estos controles sumado a la instalación de actualizaciones de seguridad del sistema operativo, uso y mantenimiento actualizado de antivirus, generación de backup y control de alertas consolidan el principal módulo preventivo del sistema de seguridad de NEOTEL.
Software
El RESPONSABLE DE SEGURIDAD DE LA INFORMACIÓN definirá los procedimientos para la obtención e instalación de software. Estos procedimientos se aplicarán a todo el software utilizado para los negocios de NEOTEL. Las licencias de Software serán conservadas de manera centralizada.
No está permitida la instalación y/o utilización de software que no esté debidamente autorizado por la GERENCIA DE SERVICIOS INFORMÁTICOS.
Todo software de terceras partes será obtenido de fuentes confiables y utilizadas estrictamente de acuerdo con los términos de la licencia.
Adicionalmente, como se mencionó en párrafos anteriores, todo software de terceros se ejecuta bajo una cuenta de usuario cuyos permisos de lectura/escritura se encuentran restringidos a las acciones que realizan con el fin de garantizar la integridad de la información.
Cliente como usuario Administrador
Neotel se reserva el derecho de NO proveer a sus clientes un usuario administrador con el propósito principal de preservar su propiedad intelectual y velar por la integridad de la información utilizada y resguardada en su solución.
Se debe tener en cuenta, además, que la solución provista por Neotel no cuenta con un usuario administrador de clave fija que pueda ser filtrada/provista a personas fuera de las mencionadas en el segundo apartado del presente documento.
Instalación de software de terceros
Está estrictamente prohibido la instalación de cualquier software no homologado y/o autorizado por Neotel.
Nuevamente, se debe tener en cuenta que la solución provista por Neotel no cuenta con un usuario administrador de clave fija por lo que las aplicaciones, de instalarse, no podrán ser ejecutadas.
Riesgos principales
Caída de servicio por configuraciones que se puedan realizar sin contemplar las configuraciones específicas de la solución provista por Neotel.
Pérdida de información por configuraciones que se puedan realizar sin contemplar las configuraciones específicas de la solución provista por Neotel.
Robo de información.
Robo de la propiedad intelectual de Neotel.
Acceso a información sensible.
Mayor cantidad de puntos de fallas / causantes de anomalías.
Alteración del esquema de seguridad manejado por Neotel.
Escalamiento de permisos.
Alternativa ofrecida
En casi la totalidad de los casos, nuestros clientes solicitan un acceso administrador y/o instalación de aplicativos con el objetivo final de monitorear lo sucedido en los servidores que alojan la solución de Neotel. Para tal fin, el cliente puede solicitar a su focal técnico la instalación y configuración del protocolo SNMP para realizar monitoreo de los sensores que ofrece el protocolo.