Control de Acceso al Sistema. Es necesario impedir que los sistemas de tratamiento de datos que se utilizan para prestar el Servicio Cloud se puedan usar sin autorización.
Control de Acceso al Sistema. Se utilizan varios niveles de autorización para garantizar el acceso a sistemas sensibles, incluidos aquellos que almacenan y tratan Datos Personales. Las autorizaciones se gestionan mediante procesos definidos conforme a la Política de Seguridad de SAP. • Todo el personal accede a los sistemas de SAP con un identificador único (ID de usuario). • SAP dispone de políticas diseñadas a fin de que no se otorgue ningún derecho sin autorización y que, en caso de que el personal deje la empresa, sus derechos de acceso sean revocados. • XXX ha establecido una política de contraseñas que prohíbe compartirlas, especifica qué debe hacerse en caso de que se divulgue una contraseña y exige que se cambien periódicamente y que se modifiquen las contraseñas predeterminadas. Se asignan identificadores de usuario personalizados para la autenticación. Todas las contraseñas deben cumplir unos requisitos mínimos definidos y se almacenan de forma encriptada. En el caso de las contraseñas de dominios, el sistema obliga a cambiar la contraseña cada seis meses para cumplir con los requisitos para contraseñas complejas. Cada ordenador tiene un protector de pantalla protegido mediante contraseña. • La red de la empresa está protegida de la red pública mediante cortafuegos. • SAP utiliza un software de antivirus actualizado en los puntos de acceso ala red de la empresa (para cuentas de correo electrónico) y en todos los servidores de archivo y centros de trabajo. • Los procesos de gestión de parches de seguridad para la implementación de las actualizaciones de seguridad pertinentes de forma regular y periódica. • El acceso remoto total a la red corporativa de SAP y a la infraestructura crítica está protegido mediante autenticación.
Control de Acceso al Sistema. Deberá prohibirse el uso no autorizado de sistemas de procesamiento de datos utilizados para prestar el servicio de NT-ware. Medidas:
a. La autorización de acceso a sistemas críticos o información confidencial se mantiene estrictamente de acuerdo con las políticas de seguridad de NT-ware.
b. Todo el personal accede a los sistemas de NT-ware con un identificador único (ID de usuario).
c. NT-ware sigue un estricto control de cambios y supervisión de cualquier solicitud de acceso a sistemas críticos. En caso de que el personal abandone la empresa, se revocarán sus derechos de acceso.
d. NT-ware ha establecido una política de contraseñas que prohíbe compartirlas, regula la respuesta a la divulgación de contraseñas y exige que éstas se cambien periódicamente y que se modifiquen las predeterminadas. Se asignan identificadores de usuario personalizados para autenticación. Todas las contraseñas deben cumplir unos requisitos mínimos definidos y se almacenan de forma encriptada. En el caso de las contraseñas de dominio, el sistema obliga a cambiarlas cada doce meses en cumplimiento de los requisitos de contraseñas complejas. Todos los ordenadores se bloquean tras un periodo de inactividad.
e. La red de la empresa está protegida de la red pública mediante cortafuegos.
f. NT-ware utiliza un software antivirus de empresa actualizado en los puntos de acceso a la red de la empresa (para las cuentas de correo electrónico), así como en todos los servidores de archivos y en todas las estaciones de trabajo.
g. Se implementa gestión de revisiones de seguridad para proporcionar un despliegue regular y periódico de las actualizaciones de seguridad pertinentes. El acceso remoto completo a la red corporativa de NT-ware y a la infraestructura crítica está protegido por una infraestructura VPN multifactor de autenticación sólida.
Control de Acceso al Sistema. Medidas para evitar que personas no autorizadas puedan usar sistemas de tratamiento de datos (incluidos procesos de encriptado): • Protección de acceso (autenticación): - Hay autenticación de usuario para proteger el acceso a sistemas de tratamiento de datos. - Se realizan comprobaciones para garantizar la implantación de las medidas que protegen el acceso. - Se usa un generador de contraseñas para generar contraseñas aleatorias. • Transmisión segura de credenciales de autenticación dentro de la red: - Las credenciales de autenticación están encriptadas cuando se transmiten por toda la red. • Bloqueo del acceso en caso de intentos de inicio de sesión fallidos / inactividad y proceso para restablecer IDs de usuario bloqueadas: - Hay un procedimiento seguro de restablecimiento tras haberse bloqueado el acceso, p.e., asignación de nuevas IDs de usuario. • Prohibición de guardar contraseñas y / o entradas de formularios en el sistema local: - Las contraseñas de acceso y / o entradas de formularios no se almacenan en el cliente o su entorno (p.e., guardado en un navegador o notas). - Se dan instrucciones a los usuarios sobre estos requisitos. • Determinación de las personas autorizadas: - Hay un concepto de papel (perfiles de usuario predefinidos). - Las autorizaciones de acceso siempre se asignan de forma individual (personal). - El número de personas autorizadas se mantienen en el mínimo absoluto necesario para el funcionamiento. • Gestión y documentación de dispositivos de autorizaciones personales y autorizaciones de acceso: - Se ha establecido, descrito y se deberá usar un proceso para solicitar, aprobar, asignar y retirar dispositivos de autenticación y autorizaciones de acceso. - Se debe especificar una persona para asignar autorizaciones de acceso. - Hay normas para la delegación en caso de que la persona principal responsable no esté disponible. • Bloqueo automático de acceso: - Se activará automáticamente un salvapantallas protegido con contraseña mediante el uso de la propia tecnología integrada del sistema operativo en caso de que una estación de trabajo o terminal permanezca inactivo durante más de 30 minutos. • Bloqueo manual de acceso: - Hay directrices para proteger las estaciones de trabajo y los terminales contra el uso no autorizado cuando el lugar de trabajo está temporalmente vacante, p.e., mediante la activación automática o manual del salvapantallas protegido con contraseña. - Los empleados recibirán formación relativa a la necesidad de u...