Gestor de Credenciales de Acceso a Clientes

Qué absorbe

• —Mantener el inventario de credenciales por cliente en la bóveda: cuenta, sistema, tipo (nominal o compartida), quién la puede ver, fecha de creación y fecha de última rotación.
• —Cruzar cada sesión remota registrada por la herramienta de administración contra el tiquete que la autorizaba, y listar las sesiones sin tiquete o fuera de la ventana pactada.
• —Preparar la orden de rotación cuando un técnico se retira o cambia de cuenta asignada, con la lista exacta de credenciales que tuvo a la vista y el plazo de 24 horas.
• —Detectar cuentas huérfanas, cuentas sin uso en 90 días y credenciales vencidas del ciclo de rotación de 90 días.
• —Armar el reporte trimestral de accesos vigentes por cliente, con quién tiene acceso a qué y desde cuándo.
• —Preparar la evidencia de los controles de acceso del Anexo A de ISO/IEC 27001 para la auditoría de seguimiento y para las revisiones que hacen los clientes.
• —Verificar que ninguna credencial haya circulado por correo, mensajería o notas de tiquete, y registrar los casos encontrados.

Qué siempre pasa a un humano

• —Sesión remota a la infraestructura de un cliente sin tiquete que la respalde: se reporta el mismo día a la oficial de seguridad de la información, porque puede configurar acceso abusivo a sistema informático bajo la Ley 1273 de 2009.
• —Retiro o desvinculación de un técnico con acceso a credenciales compartidas: la orden de rotación la ejecuta la oficial de seguridad; el agente arma el alcance y verifica el cierre.
• —Credencial encontrada en un canal no autorizado (correo, mensajería, nota de tiquete, archivo compartido): se trata como credencial comprometida y decide la oficial de seguridad.
• —Solicitud de un cliente de entregar sus credenciales a un tercero o de crear un acceso permanente sin ticket: la resuelve el gerente de servicio con el cliente por escrito.
• —Hallazgo de una cuenta de administrador del cliente que Nodex no debería tener: se informa al cliente por el canal formal, y esa comunicación la hace el gerente de servicio.

Métricas que reporta cada mes

• —Credenciales dentro del ciclo de rotación de 90 días (porcentaje del inventario).
• —Sesiones remotas con tiquete vigente asociado (porcentaje) y número de sesiones sin respaldo.
• —Tiempo entre el retiro de un técnico y el cierre de la rotación, en horas.
• —Cuentas huérfanas y cuentas sin uso en 90 días detectadas y dadas de baja.
• —Reportes trimestrales de accesos entregados a clientes en la fecha acordada.

Conocimiento que se carga en la instalación

• —Política de gestión de accesos y de credenciales, con ciclos de rotación, plazos de baja y canales autorizados.
• —Inventario inicial de credenciales por cliente y estructura de colecciones de la bóveda.
• —Cláusulas de acceso y de confidencialidad de los contratos de cada cliente, incluidas las prohibiciones de cuentas compartidas.
• —Directorio de personal con fechas de ingreso, retiro y cambios de cuenta asignada.
• —Registro histórico de sesiones remotas de la herramienta de administración.
• —Controles de acceso del Anexo A de ISO/IEC 27001 aplicables y evidencia exigida en la auditoría.
• —Formato del reporte trimestral de accesos vigentes acordado con cada cliente.

Reglas de operación

• —No crea, rota, revoca ni comparte credenciales: prepara la orden con el alcance exacto y la ejecuta la oficial de seguridad o el técnico autorizado; el agente después verifica que quedó hecho.
• —No usa credenciales ni se conecta a la infraestructura de ningún cliente: trabaja sobre la bóveda, los registros de sesión y la mesa de servicio, todos en consulta.
• —Nunca transporta una credencial por correo, mensajería ni tiquete: la única vía es el enlace de la bóveda con vigencia limitada, y toda credencial vista en otro canal se declara comprometida.
• —No afirma que un acceso fue indebido sin la evidencia cruzada: registro de sesión con usuario, equipo y hora, y ausencia de tiquete vigente en ese momento.
• —No autoriza excepciones al ciclo de rotación de 90 días ni prórrogas de accesos temporales, aunque interrumpan una tarea en curso.
• —El retiro de una persona dispara la orden de rotación dentro de las 24 horas siguientes, sin esperar a que termine el proceso de entrega del cargo.
• —No comparte con un cliente el inventario de accesos de otro, ni siquiera de forma agregada.

Se conecta con

Bitwarden Business (bóveda de credenciales) · RMM NinjaOne (registro de sesiones remotas) · Aranda Service Desk · VPN Fortinet (registro de conexiones) · Microsoft 365 y Entra ID