ENS RD 311/2022 - Categoría Alta

ens_rd2022_aws

ENSvRD2022

OfficialVerified

The accreditation scheme of the ENS (National Security Scheme) has been developed by the Ministry of Finance and Public Administrations and the CCN (National Cryptological Center). This includes the basic principles and minimum requirements necessary for the adequate protection of information.

189requirements127checks

Prowler prowler-provider-aws

Run this compliance with Prowler

Run in Prowler Cloud

Run

prowler aws --compliance ens_rd2022_aws

Requirements (189)

op.acc.1.aws.iam.2Proveedor de identidad centralizado1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.1
Descripcion Control: Es muy recomendable la utilización de un proveedor de identidades que permita administrar las identidades en un lugar centralizado, en vez de utilizar IAM para ello.

op.acc.2.aws.iam.4Requisitos de acceso1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.2
Descripcion Control: Se deberá delegar en cuentas administradoras la administración de la organización, dejando la cuenta maestra sin uso y con las medidas de seguridad pertinentes.

op.acc.3.r1.aws.iam.1Segregación rigurosa1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.3.r1
Descripcion Control: En caso de ser de aplicación, la segregación deberá tener en cuenta la separación de las funciones de configuración y mantenimiento y de auditoría de cualquier otra.

op.acc.3.r2.aws.iam.1Privilegios de auditoría1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: opcional
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.3.r2
Descripcion Control: Disponer de cuentas con privilegios de auditoría estrictamente controladas y personalizadas.

op.acc.4.aws.iam.1Proceso de gestión de derechos de acceso13

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Las políticas IAM deben permitir sólo los privilegios necesarios para cada rol. Se recomienda comenzar con el mínimo nivel de permisos e ir añadiendo permisos adicionales según vaya surgiendo la necesidad en lugar de comenzar con permisos administrativos.

op.acc.4.aws.iam.2Proceso de gestión de derechos de acceso5

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Evitar políticas con comodines (wildcards) en su definición, que puedan otorgar privilegios administrativos completos.

op.acc.4.aws.iam.6Proceso de gestión de derechos de acceso1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Con AWS Systems Manager Automation pueden utilizarse documentos de automatización y diseñar flujos de trabajo para la administración de cambios o la ejecución de operaciones estándar para administrar las instancias EC2 (p. ej., actualizar los sistemas operativos), en lugar de permitir el acceso directo.

op.acc.4.aws.iam.7Proceso de gestión de derechos de acceso2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Se restringirá todo acceso a las acciones especificadas para el usuario root de una cuenta.

op.acc.4.aws.iam.8Proceso de gestión de derechos de acceso2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Se restringirá todo acceso a las acciones especificadas para el usuario root de una cuenta.

op.acc.4.aws.iam.9Proceso de gestión de derechos de acceso3

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Se configurarán diferentes permisos a las cuentas de usuario, limitando la utilización de la cuenta “root” para tareas específicas que necesiten un nivel de privilegios elevado, esta configuración debe entenderse como un mecanismo para impedir que el trabajo directo con usuarios con privilegios de administrador repercuta negativamente en la seguridad, a acometer todas las acciones con el máximo privilegio cuando este no es siempre requerido.

op.acc.4.aws.sys.1Proceso de gestión de derechos de acceso1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.4
Descripcion Control: Habilitar systems manager automation para evitar acceso remoto humano a tareas automatizables.

op.acc.6.aws.iam.1Mecanismo de autenticación (usuarios de la organización)1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6
Descripcion Control: Evitar el uso permanente de múltiples claves de acceso para un mismo usuario IAM.

op.acc.6.aws.iam.2Mecanismo de autenticación (usuarios de la organización)3

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6
Descripcion Control: Las claves de acceso deberán rotarse cada 90 días o menos.

op.acc.6.aws.iam.3Mecanismo de autenticación (usuarios de la organización)4

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6
Descripcion Control: Deberá habilitarse el vencimiento de las credenciales de los usuarios. (Bien a través de la política de contraseñas de IAM o del proveedor de identidades federado).

op.acc.6.aws.iam.4Mecanismo de autenticación (usuarios de la organización)1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6
Descripcion Control: Se deberá evitar la asignación por defecto de claves de acceso para todos los usuarios que tengan acceso a la consola. Para cumplir con este requisito, se recomienda revisar qué usuarios se encuentran dados de alta en la cuenta de AWS y disponen de acceso a la consola de administración y evitar la asignación de claves de acceso cuando no son necesarias.

op.acc.6.r1.aws.iam.1Contraseñas6

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias: op.acc.6.r2
op.acc.6.r4
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r1
Descripcion Control: Las contraseñas de los usuarios deberán tener normas de complejidad mínima y robustez.

op.acc.6.r2.aws.iam.1Contraseña + otro factor de autenticación3

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias: op.acc.6.r1
op.acc.6.r4
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r2
Descripcion Control: MFA deberá estar habilitado para todas las cuentas que tengan contraseña para acceder a la consola, incluyendo el usuario root.

op.acc.6.r4.aws.iam.1Certificados en dispositvo físico2

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias: op.acc.6.r1
op.acc.6.r3
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r4
Descripcion Control: Habilitar los dispositivos MFA físicos para todos los usuarios IAM mediante la consola, línea de comandos o la propia API de IAM. Del mismo modo, el uso de estos certificados deberá estar protegido por un segundo factor de tipo PIN o biométrico.

op.acc.6.r5.aws.iam.1Registro1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r5
Descripcion Control: Para registrar los intentos de acceso, se deberá habilitar CloudTrail en todas las regiones y activar el registro de acceso de usuarios.

op.acc.6.r7.aws.iam.1Suspensión por no utilización5

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r7
Descripcion Control: Activar la deshabilitación de las credenciales de los usuarios IAM que no hayan sido empleadas durante un periodo de tiempo (o bien, se deberá establecer la deshabilitación en el proveedor de identidades).

op.acc.6.r8.aws.iam.1Doble factor para acceso desde o a través de zonas no controladas1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.acc.6.r8
Descripcion Control: Se deberá emplear como mecanismo de autenticación o bien una contraseña más otro factor de autenticación, o bien un certificado cualificado (con o sin soporte físico) protegido por un doble factor de autenticación.

op.exp.1.aws.cfg.1Inventario de activos1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: En lo referente al inventariado de activos, asegurar que AWS Config está habilitado en todas las regiones y utilizar la herramienta para obtener una vista de los recursos existentes en las cuentas de AWS.

op.exp.1.aws.cfg.2Inventario de activos1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: bajo
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: Configurar una regla de Config Rules que alerte sobre el despliegue de recursos sin las etiquetas correspondientes asociadas.

op.exp.1.aws.sys.1Inventario de activos2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: En el ámbito del software desplegado en las instancias de EC2, habilitar AWS System Manager Inventory para todo el entorno de EC2 en caso de no utilizar herramientas de terceros.

op.exp.1.aws.sys.2Inventario de activos1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: Asignar metadatos personalizados a cada nodo administrado con información sobre el responsable del activo.

op.exp.1.aws.re.1Inventario de activos1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: Se recomienda el uso de AWS Resource Explorer para la exploración de los recursos como instancias RDB, buckets S3o tablas de Amazon DynamoDB.

op.exp.1.aws.tag.1Inventario de activos1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.1
Descripcion Control: Para la correcta identificación del responsable, asociar etiquetas para todos los activos.

op.exp.3.aws.cfg.1Gestión de la configuración de seguridad1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: bajo
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.3
Descripcion Control: El cumplimiento de los requisitos se puede apoyar en la utilización de los servicios Config, Config Rules y Conformance Packs para identificar líneas base de configuración para evaluar si los recursos de AWS se ajustan a las prácticas autorizadas por la organización.

op.exp.3.r3.aws.cfg.1Copias de seguridad1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.3.r3
Descripcion Control: La entidad usuaria puede consultar el histórico de configuraciones de recursos en AWS Config.

op.exp.4.aws.sys.2Mantenimiento y actualizaciones de seguridad2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.4
Descripcion Control: Utilizar AWS Systems Manager Patch Manager para planificar y gestionar la aplicación de parches minimizando los riesgos asociados a tener instancias con software desactualizado y expuesto a vulnerabilidades conocidas.

op.exp.4.r2.aws.sys.1Prevención de fallos1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.4.r2
Descripcion Control: Utilizar la solución AWS Systems Manager Automation para automatizar las tareas de corrección en servicios de AWS como EC2 y RDS.

op.exp.4.r4.aws.insp.1Monitorización continua2

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: opcional
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.4.r4
Descripcion Control: Desplegar a nivel de sistema una estrategia de monitorización continua de amenazas y vulnerabilidades detallando: indicadores críticos de seguridad, política de aplicación de parches y criterios de revisión regular y excepcional de amenazas del sistema.

op.exp.5.aws.ct.1Gestión de cambios1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.5
Descripcion Control: Asegurar que CloudTrail esté activo para todas las regiones.

op.exp.6.aws.gd.1Protección frente a código dañino1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.6
Descripcion Control: Activar la protección contra software malintencionado de GuardDuty en todas las regiones.

op.exp.7.aws.gd.1Gestión de incidentes2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.7
Descripcion Control: Habilitar GuardDuty para la detección de incidentes de seguridad

op.exp.7.aws.sh.1Gestión de incidentes1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.7
Descripcion Control: Habilitar Security Hub

op.exp.7.aws.cf.1Gestión de incidentes1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.7
Descripcion Control: Habilitar los logs de acceso de CloudFront

op.ext.7.aws.am.1Gestión de incidentes3

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.7
Descripcion Control: Deberá proveerse la información relacionada con contactos alternativos (de facturación, operaciones y seguridad), con correos que no dependan de la misma persona. Deberá comprobarse regularmente que estas cuentas funcionan correctamente y mantener listas de correo para asegurar la recepción de avisos por personal disponible en cada momento. Además, deberán establecerse preguntas de desafío de seguridad y respuestas para el caso de que sea necesario autenticarse como propiterio de la cuenta para ponerse en contacto con el soporte de AWS.

op.exp.8.aws.ct.1Registro de actividad1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Habilitar la herramienta CloudTrail en todas las regiones. Este serviio está habilitado por defecto cuando se crea una nueva cuenta, pero es posible deshabilitarlo.

op.exp.8.aws.ct.2Registro de actividad1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Establecer un filtro de métricas desde AWS CloudWatch para detectar cambios en las configuraciones de CloudTrail

op.exp.8.aws.ct.3Registro de actividad1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Habilitar la validación de archivos en todos los trails, evitando así que estos se vean modificados o eliminados.

op.exp.8.aws.ct.4Registro de actividad2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Habilitar la entrega continua de eventos de CloudTrail a un bucket S3 dedicado con el fin de unificar los archivos de registro.

op.exp.8.aws.ct.5Registro de actividad5

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Se deberán habilitar alertas para los siguientes eventos: * Llamadas no permitidas a la API, * Accesos no permitidos a la consola, * Todos los intentos de acceso sin el correcto uso de MFA, * Toda la actividad realizada sobre y por la cuenta root, * Cualquier cambio en las políticas IAM

op.exp.8.aws.ct.6Registro de actividad1

Attributes

Tipo: medida
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Activar el servicio de AWS CloudTrail para registrar la actividad de los usuarios relativa a la configuración de los servicios VPN Site-to-Site y AWS DirectConnect

op.exp.8.aws.cw.1Registro de actividad1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8
Descripcion Control: Crear alertas utilizando herramientas como Amazon CloudWatch Events para anunciar el inicio de sesión y el uso de las credenciales de usuario root de la cuenta de administración

op.exp.8.r1.aws.ct.2Revisión de los registros4

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r1
Descripcion Control: Configurar la herramienta CloudTrail de manera que realice el registro de eventos de administración, eventos de datos y eventos anómalos (insights).

op.exp.8.r1.aws.ct.3Revisión de los registros4

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r1
Descripcion Control: Registrar los eventos de lectura y escritura de datos.

op.exp.8.r1.aws.ct.4Revisión de los registros2

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r1
Descripcion Control: Registrar los eventos de lectura y escritura de datos.

op.exp.8.r1.aws.ct.6Revisión de los registros1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r1
Descripcion Control: Habilitar la entrega continua de eventos de CloudTrail a un bucket de Amazon S3

op.exp.8.r1.aws.ct.7Revisión de los registros1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r1
Descripcion Control: Integrar CloudTrail con el servicio CloudWatch Logs

op.exp.8.r3.aws.cw.1Retención de registros1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r3
Descripcion Control: Ejecutar la acción PutRetentionPolicy de Amazon CloudWatch, permitiendo así establecer la retención del grupo de registros especificado y configurar el número de días durante los cuales se conservarán los eventos de registro en el grupo seleccionado de acuerdo con el documento de seguridad correspondiente. Paralelamente, se debe definir un periodo de retención para los datos almacenados en CloudTrail Lakes.

op.exp.8.r4.aws.ct.8Control de acceso7

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Asignar correctamente las políticas IAM para el acceso y borrado de los registros y sus copias de seguridad haciendo uso del principio de mínimo privilegio.

op.exp.8.r4.aws.ct.1Control de acceso7

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Asignar correctamente las políticas AWS IAM para el acceso y borrado de los registros y sus copias de seguridad haciendo uso del principio de mínimo privilegio.

op.exp.8.r4.aws.ct.2Control de acceso3

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Utilizar una política de bucket para restringir el acceso de forma pública e imponer restricciones sobre cuáles de los usuarios pueden eliminar objetos de Amazon S3.

op.exp.8.r4.aws.ct.3Control de acceso1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Activar el acceso por MFA al registro de actividad almacenado en los buckets de Amazon S3 dedicados para AWS CloudTrail.

op.exp.8.r4.aws.ct.4Control de acceso1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Configurar los archivos de logs de AWS CloudTrail para aprovechar el cifrado del lado del servidor (SSE – Server Side Encryption) y las claves maestras creadas por el cliente (CMK de KMS).

op.exp.8.r4.aws.ct.5Control de acceso1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: El almacén de logs de CloudTrail no debería ser accesible de forma pública

op.exp.8.r4.aws.ct.6Control de acceso1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: El almacén de logs de CloudTrail no debería ser accesible de forma pública (ACLs)

op.exp.8.r4.aws.ct.7Control de acceso1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.8.r4
Descripcion Control: Cifrado de los trails con KMS

op.exp.9.aws.ct.1Registro de la gestión de incidentes1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.9
Descripcion Control: Habilitar AWS Incident Manager y AWS CloudTrail en todas las regiones con el fin de recopilar información para generar contenido prescriptivo para la creación de informes exigidos por la medida de seguridad.

op.exp.9.aws.img.1Registro de la gestión de incidentes2

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.9
Descripcion Control: Habilitar AWS Incident Manager y AWS CloudTrail en todas las regiones con el fin de recopilar información para generar contenido prescriptivo para la creación de informes exigidos por la medida de seguridad.

op.exp.10.aws.tag.1Protección de claves criptográficas1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Se recomienda utilizar tags y alias para una mejor gestión y administración de las claves.

op.exp.10.aws.cmk.1Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Los usuarios o roles con privilegios para la creación de claves deben ser diferentes a los que van a utilizar las claves para operaciones de cifrado.

op.exp.10.aws.cmk.2Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Utilizar claves gestionadas por los clientes (CMK).

op.exp.10.aws.cmk.3Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Activar la rotación de las claves CMK.

op.exp.10.aws.cmk.4Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Para el archivo posterior a la explotación y destrucción de las claves se debe deshabilitar todas las claves CMK que no estén en uso.

op.exp.10.aws.cmk.5Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.exp.10
Descripcion Control: Eliminar las claves deshabilitadas que no estén en uso y no mantengan ningún objeto o recurso cifrado, completando el ciclo de vida de la clave.

op.mon.1.aws.gd.1Detección de intrusión1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.1
Descripcion Control: En ausencia de otras herramientas de terceros, habilitar Amazon GuarDuty para la detección de amenazas e intrusiones.

op.mon.1.aws.ct.1Detección de intrusión1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.1
Descripcion Control: Activar el servicio de eventos AWS CloudTrail para todas las regiones.

op.mon.1.aws.flow.1Detección de intrusión1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.1
Descripcion Control: Activar el servicio VPC FlowLogs.

op.mon.1.aws.gd.2Detección de intrusión1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.1
Descripcion Control: Deberá habilitarse Amazon GuardDuty para todas las regiones tanto en la cuenta raíz como en las cuentas miembro de un entorno multi-cuenta.

op.mon.1.aws.gd.3Detección de intrusión1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.1
Descripcion Control: Todas las cuentas miembro deberán estar añadidas para la supervisión bajo la cuenta raíz.

op.mon.2.aws.sh.1Sistema de métricas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.2
Descripcion Control: Utilizar Security Hub para obtener una vista consolidada de los hallazgos de seguridad en los servicios de AWS habilitados.

op.mon.3.aws.cwl.1Vigilancia1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3
Descripcion Control: Se deberá utilizar el servicio CloudWatch Logs para acceder a los registros de los diferentes servicios de AWS de forma centralizada

op.mon.3.r1.aws.gd.1Correlación de eventos1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r1
Descripcion Control: Activar GuardDuty y Security Hub o bien disponer de un SIEM externo a AWS

op.mon.3.r1.aws.sh.1Correlación de eventos1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r1
Descripcion Control: Activar GuardDuty y Security Hub o bien disponer de un SIEM externo a AWS

op.mon.3.r2.aws.cfg.1Análisis dinámico1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r2
Descripcion Control: Utilizar las herramientas AWS Config y Security hub

op.mon.3.r2.aws.sh.1Análisis dinámico1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r2
Descripcion Control: Utilizar las herramientas AWS Config y Security hub

op.mon.3.r2.aws.insp.1Análisis dinámico2

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r2
Descripcion Control: Utilizar la herramienta Inspector para la detección de posibles vulneerabilidades de las instancias EC2, las funciones Lambda y las imágenes de contenedor.

op.mon.3.r3.aws.gd.1Ciberamenazas avanzadas1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r3
Descripcion Control: Activar GuardDuty (ya cubierto)

op.mon.3.r6.aws.cfg.1Inspecciones de seguridad1

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r6
Descripcion Control: Utilizar Config Rules y AWS Inspector

op.mon.3.r6.aws.insp.1Inspecciones de seguridad2

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.mon.3.r6
Descripcion Control: Utilizar Config Rules y AWS Inspector.

mp.com.1.aws.sg.1Perímetro seguro2

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Asegurar que el Security Group restrinja todo el tráfico. Para ello, se deberán agregar las reglas del Security Group que se aplica por defecto cuando se crea una VPC.

mp.com.1.aws.sg.2Perímetro seguro2

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Evitar la existencia de Security Groups que dejen abierto todo el tráfico entrante.

mp.com.1.aws.sg.3Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Evitar tener un repositorio de Security Groups que no estén siendo usados.

mp.com.1.aws.elb.1Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Habilitar TLS en los balanceadores de carga ELB

mp.com.1.aws.elb.2Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Evitar el uso de protocolos de cifrado inseguros para las políticas de seguridad de ELB. Esto podría dejar la conexión SSL entre balanceadores y clientes vulnerables a ser explotados. En particular deberá evitarse el uso de TLS 1.0.

mp.com.1.aws.nfw.1Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Filtrar todo el tráfico entrante y saliente de la VPC a través de Firewalls de red.

mp.com.1.aws.nfw.2Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Incidir en la utilización de AWS Firewall Manager para gestionar los firewalls de forma centralizada.

mp.com.1.aws.s3.1Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Asegurar que los Buckets S3 de almacenamiento apliquen cifrado para la transferencia de datos empleando Secure Sockets Layer (SSL)

mp.com.1.aws.cf.1Perímetro seguro1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.1
Descripcion Control: Asegurar que la distribución entre frontales CloudFront y sus orígenes únicamente emplee tráfico HTTPs

mp.com.3.aws.elb.1Protección de la integridad y de la autenticidad5

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: integridad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.3
Descripcion Control: Habilitar TLS en los balanceadores de carga ELB.

mp.com.3.aws.elb.2Protección de la integridad y de la autenticidad5

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: integridad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.3
Descripcion Control: Evitar el uso de protocolos de cifrado inseguros en la conexión TLS entre clientes y balanceadores de carga. En particular, se deberá evitar el uso de TLS 1.0.

mp.com.3.aws.s3.1Protección de la integridad y de la autenticidad1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: integridad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.3
Descripcion Control: Asegurar que los Buckets de almacenamiento S3 apliquen cifrado para la transferencia de datos empleando TLS.

mp.com.3.aws.cf.1Protección de la integridad y de la autenticidad1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: integridad
autenticidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.3
Descripcion Control: Asegurar que la distribución entre frontales CloudFront y sus orígenes únicamente emplee tráfico HTTPS.

mp.com.4.aws.ws.1Separación de flujos de información en la red1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: segregación de redes
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.4
Descripcion Control: Se deberán abrir solo los puertos necesarios para el uso del servicio AWS WorkSpaces.

mp.com.4.aws.vpc.1Separación de flujos de información en la red1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.4
Descripcion Control: Los flujos de información de red se deben separar a través de la utilización de diferentes subnets.

mp.com.4.aws.vpc.2Separación de flujos de información en la red1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.4
Descripcion Control: Evitar el uso de subnets con la opción de asignación automática de IPs (auto-assign Public IP).

mp.com.4.r1.aws.vpc.1Segmentación lógica avanzada1

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.com.4.r1
Descripcion Control: Implementar la segmentación a través de la utilización de diferentes VPCs.

mp.com.4.r2.aws.vpc.1Segmentación lógica avanzada1

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias: mp.com.4.r3
Modo Ejecucion: automático
Id Grupo Control: mp.com.4.r2
Descripcion Control: Implementar la segmentación a través de la utilización de diferentes VPCs conectadas entre sí por VPN.

mp.com.4.r3.aws.vpc.1Segmentación física2

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
integridad
Dependencias: mp.com.4.r2
Modo Ejecucion: automático
Id Grupo Control: mp.com.4.r3
Descripcion Control: Implementar la segmentación a través de diferentes VPCs situadas en diferentes ubicaciones.

mp.si.2.aws.kms.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre el almacenamiento de las instancias en todos sus volúmenes de datos.

mp.si.2.aws.s3.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre los distintos buckets de S3, de los cuales se debe asegurar que tengan activado el cifrado en reposo.

mp.si.2.aws.sqs.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre las colas de mensajes de AWS (Amazon SQS).

mp.si.2.aws.rds.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre las bases de datos AWS RDS.

mp.si.2.aws.dydb.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre las bases de datos DynamoDB, que deben implementar cifrado seguro mediante el uso de claves de cliente (KMS).

mp.si.2.aws.es.1Criptografía1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Aplicar cifrado sobre todos los dominios del servicio Amazon Elasticsearch Service (ES). En caso de usar este servicio, deberá asegurarse la activación del cifrado en reposo.

mp.si.2.aws.elb.1Criptografía1

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2
Descripcion Control: Se recomienda dejar activada la opción de cifrado por defecto para nuevos volúmenes.

mp.si.2.r2.aws.ebs.1Copias de seguridad1

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.si.2.r2
Descripcion Control: Se deberá asegurar el cifrado de las copias de seguridad (snapshots) de EBS.

mp.sw.2.r1.aws.acb.1Aceptación y puesta en servicio2

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.sw.2.r1
Descripcion Control: Habilitar Amazon CodeBuild para el apoyo de la realización de pruebas en entornos aisaldos.

mp.s.2.aws.waf.1Protección de servicios y aplicaciones web1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.s.2
Descripcion Control: Todas las aplicaciones web distribuidas por el servicio de AWS CloudFront deben estar integradas con el servicio de firewall de aplicaciones web AWS WAF.

mp.s.2.aws.waf.2Protección de servicios y aplicaciones web1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.s.2
Descripcion Control: Los API gateways deben tener un ACL WAF asociado.

mp.s.2.aws.waf.3Protección de servicios y aplicaciones web1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.s.2
Descripcion Control: Todos los balanceadores de aplicación deben estar integrados con el servicio de firewall de aplicación web para quedar protegidos ante ataques de la capa de aplicación

mp.s.4.r1.aws.shieldadv.1Detección y reacción6

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.s.4.r1
Descripcion Control: Activar AWS Shield Advanced con el fin de disponer de una herramienta de prevención, detección y mitigación de ataques de denegación de servicio.

mp.s.4.aws.as.1Protección frente a la denegación de servicio 1

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.s.4
Descripcion Control: Activar la solución AWS Auto Scaling para dotar a los sistemas de la capacidad suficiente para atender la carga prevista con holgura y desplegar tecnologías para la prevención de ataques conocidos.

op.pl.2.r1.aws.warch.1Sistema de gestión0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.2.r1
Descripcion Control: Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework

op.pl.2.r2.aws.warch.1Sistema de gestión de la seguridad con mejora continua0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.2.r2
Descripcion Control: Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework

op.pl.2.r3.aws.warch.1Validación de datos0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.2.r3
Descripcion Control: Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework

op.pl.4.aws.ec2.1Necesidades de procesamiento0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4
Descripcion Control: La entidad usuaria deberá llevar a cabo el estudio de capacidades a las que hace referencia la medida de seguridad, si bien (…) deberá tener especialmente en cuenta: * Las capacidades de procesamiento, almacenamiento y comunicaciones de las instancais desplegadas en AWS.

op.pl.4.aws.sq.1Necesidades de procesamiento0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4
Descripcion Control: La entidad usuaria deberá llevar a cabo el estudio de capacidades a las que hace referencia la medida de seguridad, si bien (…) deberá tener especialmente en cuenta: * Las cuotas de los servicios a utilizar.

op.pl.4.r1.aws.cw.1Mejora continua de la gestión de la capacidad0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: En caso de no disponer de herramientas de terceros, se deberán utilizar las herramientas de monitorización de la capaciad indicadas para monitorizar las capacidades de la infraestructura y el grado de consumo de los servicios en función de las cuotas disponibles. (CloudWatch)

op.pl.4.r1.aws.sq.1Mejora continua de la gestión de la capacidad0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: En caso de no disponer de herramientas de terceros, se deberán utilizar las herramientas de monitorización de la capaciad indicadas para monitorizar las capacidades de la infraestructura y el grado de consumo de los servicios en función de las cuotas disponibles. (Service Quotas)

op.pl.4.r1.aws.sq.2Previsión y actualización de la capacidad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: En cuanto a la monitorización sobre el grado de consumo, utilizar la solución nativa Quota Monitor.

op.pl.4.r1.aws.sns.1Monitorización de la capacidad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: Para la creación de alarmas en materia de capacidad de las instancias, se debe configurar un tema de SNS que permita el envío de mails automáticos a la dirección de correo seleccionada.

op.pl.4.r1.aws.sns.2Monitorización de la capacidad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: Configurar alarmas correspondientes a las diferentes capacidades (SNS) como uso de CPU, capacidad de almacenamiento o latencia.

op.pl.4.r1.aws.sq.3Monitorización de la capacidad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: planificación
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.pl.4.r1
Descripcion Control: Visualizar las cuotas de servicio y configurar alarmas a través de la integración de AWS Service Quotas con CloudWatch.

op.acc.1.aws.iam.1Identificador único0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: Utilizar los grupos y roles, en lugar de los usuarios individuales, para controlar el acceso. Esto permitirá implementar un conjunto de permisos en lugar de actualizar muchas políticas individuales cuando el acceso de un usuario necesita cambiar.

op.acc.1.aws.iam.3Proveedor de identidad centralizado0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: El usuario raíz actúa como usuario IAM de seguridad (usuario "breakglass"), dado que no se encuentra sincronizado con el proveedor de identidades externo, lo que permite la recuperación de emergencia del acceso a AWS en caso de imposibilidad de autenticar a los usuarios a través del proveedor de identidades.

op.acc.1.aws.iam.4Identificador único0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: Utilizar identificadores únicos para los usuarios del sistema.

op.acc.1.aws.iam.5Identificador único0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: Cada cuenta estará asociada a un identificador único.

op.acc.1.aws.iam.6Cuentas de usuario0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organización; cuando el usuario cesa en la función para la cual se requería la cuenta de usuario; o, cuando la persona que la autorizó, da orden en sentido contrario.

op.acc.1.aws.iam.7Cuentas de usuario0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1
Descripcion Control: Las cuentas se retendrán durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominará periodo de retención.

op.acc.1.r1.aws.iam.1Identificación de usuario0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.1.r1
Descripcion Control: Los identificadores de usuario deberán ser asignados en el proveedor de identidades (o en IAM) de modo que se permita singularizar a la persona asociada a cada identificador y cumplir con el resto de requisitos del refuerzo

op.acc.2.aws.iam.1Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: Hacer uso de las políticas IAM para la asignación de privilegios de acceso. Deberán administrarse permisos para controlar el acceso de las identidades de personas y máquinas y sus cargas de trabajo.

op.acc.2.aws.vpn.1Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: Deberá definirse una correcta política de permisos IAM para operaciones de Amazon WorkSpaces según las recomendaciónes establecidas en la sección 3.1.1 Control de Acceso de la guía CCN STIC-887A Guía de configuración segura AWS.

op.acc.2.aws.iam.2Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: Deberá definirse una política IAM que conceda permiso al usuario o rol de IAM para utilizar los recursos y las acciones de la API específicos que necesita

op.acc.2.aws.iam.3Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: De acuerdo con las medidas del Esquema Nacional de seguridad los derechos de acceso de cada recurso, se establecerán según las decisiones de la persona responsable del recurso, ateniéndose a la política y normativa de seguridad del sistema

op.acc.2.aws.vpn.2Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: Deberán restringirse los permisos a usuarios para utilizar la acción ec2:DescribeVpnConnections. Esta acción permite a los usuarios ver la información de configuración de la gateway de cliente sobre las conexiones Site-to-Site VPN de su cuenta.

op.acc.2.aws.vpn.3Requisitos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2
Descripcion Control: La rotación de certificados de VPN deberá asignarse siguiendo las recomendaciónes de segregación de funciones tal y como se explica en la sección 3.1.1.

op.acc.2.r1.aws.iam.1Privilegios de acceso0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.2.r1
Descripcion Control: Evitar el uso de asunción de roles para cualquier cuenta.

op.acc.3.aws.iam.1Segregación de funciones y tareas0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.3
Descripcion Control: Enumerar los recursos específicos a los que puede obtener acceso una función de trabajo.

op.acc.3.aws.iam.2Segregación de funciones y tareas0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.3
Descripcion Control: Emplear correctamente el uso de RBAC/ABAC para separar las funciones de desarrollo y operación.

op.acc.3.aws.iam.3Segregación de funciones y tareas0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.3
Descripcion Control: Emplear correctamente el uso de RBAC/ABAC para separar las funciones de autorización y control de uso.

op.acc.3.aws.iam.4Segregación de funciones y tareas0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.3
Descripcion Control: Las políticas IAM deberían estar asociadas solo a grupos y a roles.

op.acc.3.r3.aws.iam.1Acceso a la información de seguridad0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: opcional
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.3.r3
Descripcion Control: Limitar el acceso a la información de seguridad del sistema a los administradores de seguridad utilizando los mecanismos de acceso imprescindibles (consola, interfaz web, acceso remoto etc.).

op.acc.4.aws.iam.12Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: Las políticas IAM únicamente deben poder asignarse por el usuario que tenga la función de control de accesos expresamente atribuida.

op.acc.4.aws.iam.13Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: No utilizar el usuario raíz salvo necesidad expresa.

op.acc.4.aws.iam.3Proceso de gestión de derechos de acceso1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: automatico
Id Grupo Control: op.acc.4
Descripcion Control: Para una correcta implementación de la estrategia de políticas de acceso, se recomienda utilizar la herramienta Policy Simulator para probar y solucionar posibles problemas en la asignación de políticas.

op.acc.4.aws.iam.4Proceso de gestión de derechos de acceso0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: Se puede utilizar Acces Analyzer para identificar recursos y cuentas, validar las políticas contra las prácticas recomendadas y generar políticas con base en la actividad de acceso de registros de CloudTrail.

op.acc.4.aws.iam.5Proceso de gestión de derechos de acceso0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: En cuanto a los accesos a las instancias alojadas en AWS se recomienda emplear mecanismos para mantener a las personas alejadas de los datos. Es decir, limitar al máximo el acceso directo a los datos por parte de los usuarios.

op.acc.4.aws.iam.10Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: Se evitará que los usuarios puedan deshabilitar o modificar servicios relacionados con el área de seguridad como AWS Config o AWS CloudWatch.

op.acc.4.aws.iam.11Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: Deberá definirse una política de IAM que conceda permiso al usuario o rol de IAM para utilizar exclusivamente los recursos y las acciones de WorkSpace que necesita.

op.acc.4.aws.vpn.1Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: Las configuraciones de las políticas de las AWS VPN deben tener las redes específicas con las que se va a establecer la conectividad y evitar políticas genéricas basadas en routing donde se pierde el control granular de las redes permitidas en los SA de la VPN.

op.acc.4.aws.vpn.2Proceso de gestión de derechos de acceso0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.4
Descripcion Control: En configuraciones de AWS DirectConnect, deberán controlarse los AS y el routing que se lleva por BGP, de modo que se propague el mínimo de rutas y se asegure que no exista redistribución de rutas/redes privadas de entornos del cliente hacia el ISP.

op.acc.6.r2.aws.iam.2Contraseña + otro factor de autenticación0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.6.r2
Descripcion Control: Se recomienda que la organización determine qué llamadas a la API deben también contar con seguridad reforzada a través de un doble factor de autenticación.

op.acc.6.r3.aws.iam.1Certificados0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.6.r3
Descripcion Control: Utilizar el servicio AWS IAM Roles Anywhere para crear un ancla de confianza en la que se haga referencia al servicio AWS Certificate Manager Private CA o registrar sus propias autoridades de certificación (CA), permitiendo usar el certificado emitido por la misma para obtener credenciales temporales para el acceso al entorno AWS. Estos certificados deberán estar protegidos por un segundo factor.

op.acc.6.r5.aws.iam.2Registro0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.6.r5
Descripcion Control: Habilitar la información de usuario sobre la fecha de último uso de sus claves de acceso.

op.acc.6.r9.aws.iam.1Acceso remoto (todos los niveles)0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.6.9
Descripcion Control: Deberá asegurarse que se está haciendo uso de HTTPS en todas las llamadas a API. Esto se puede lograr a través de una política IAM que rechace el tráfico que no sea HTTPS.

op.acc.6.r9.aws.iam.2Acceso remoto (todos los niveles)0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: control de acceso
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.acc.6.9
Descripcion Control: En caso de que las llamadas a las APIs no se produzcan de manera constante, se recomienda condicionar su realización a aquellas franjas horarias en las que sean necesarias.

op.exp.1.r2.aws.sminv.1Identificación periódica de activos0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: opcional
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.1.r2
Descripcion Control: Disponer de herramientas que permitan visualizar de forma continua el estado de todos los equipos en la red, en particular servidores y los dispositivos de red y comunicaciones.

op.exp.1.r3.aws.tag.1Lista de componentes software0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: opcional
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.1.r4
Descripcion Control: Mantener actualizada una relación de los componentes software de terceros utilizados en el despliegue del sistema. Listado equivalente a lo requerido en mp.sw.1.r5.

op.exp.3.r4.aws.cfg.2Copias de seguridad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.3.r3
Descripcion Control: Desplegar toda la infraestructura de AWS a través de código con el servicio AWS CloudFormation.

op.exp.4.aws.ami.1Mantenimiento y actualizaciones de seguridad0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.4
Descripcion Control: Una forma eficiente de garantizar la instalación de las versiones actualizadas y aprobadas del software de los sistemas es la utilización de Golden AMIs.

op.exp.5.aws.cm.1Gestión de cambios0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.5
Descripcion Control: La entidad usuaria puede hacer uso de la utilidad AWS Change Manager para mantener un registro actualizado de las plantillas y peticiones de cambio en las que se incluya información en detalle sobre estos.

op.exp.5.aws.cal.1Gestión de cambios0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.5
Descripcion Control: Utilizar AWS Change Calendar para establecer una ventana de tiempo (fecha y hora) en la que realizar los cambios y las pruebas de preproducción en equipos equivalentes a los de producción sin riesgo a que estas afecten a la continuidad del servicio prestado.

op.exp.6.r1.aws.sys.1Escaneo periódico0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.6.r1
Descripcion Control: Automatizar las operaciones estándar a llevar a cabo para la respuesta en caso de incidente a través de AWS System Manager

op.exp.6.r3.aws.sys.1Lista blanca0

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.6.r3
Descripcion Control: Hacer uso de AWS System Manager Inventory para definir, a nivel de software, una lista blanca de aplicaciones.

op.exp.6.r4.aws.sys.1Capacidad de respuesta en caso de incidente0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.6.r4
Descripcion Control: Automatizar tareas estándar a través de AWS System Manager

op.exp.8.r1.aws.cw.1Revisión de los registros0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.8.r1
Descripcion Control: Utilizar el servicio AWS CloudWatch para centralizar y revisar los registros de todos los sistemas independientemente de su origen.

op.exp.8.r3.aws.ct.1Retención de registros0

Attributes

Tipo: refuerzo
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: trazabilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.8.r3
Descripcion Control: Ejecutar la acción PutRetentionPolicy de Amazon CloudWatch, permitiendo así establecer la retención del grupo de registros especificado y configurar el número de días durante los cuales se conservarán los eventos de registro en el grupo seleccionado de acuerdo con el documento de seguridad correspondiente. Paralelamente, se debe definir un periodo de retención para los datos almacenados en CloudTrail Lakes.

op.exp.10.aws.cmk.6Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.10
Descripcion Control: Utilizar el principio de mínimos privilegios para las políticas asociadas a claves.

op.exp.10.aws.cmk.7Protección de claves criptográficas1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.10
Descripcion Control: Utilizar tags y alias para una mejor administración de las claves.

op.exp.10.aws.cmk.8Protección de claves criptográficas1

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: explotación
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.exp.10
Descripcion Control: Utilizar las políticas IAM y las concesiones de claves para el acceso a las mismas.

op.cont.2.aws.az.1Plan de continuidad0

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: continuidad del servicio
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.cont.2
Descripcion Control: (Organizativo) Deberá implementarse correctamente la distribución de servicios según regiones y zonas de disponibilidad para limitar al máximo los riesgos asociados a una única ubicación.

op.cont.2.aws.vpc.1Plan de continuidad2

Attributes

Tipo: requisito
Marco: operacional
Nivel: alto
Categoria: continuidad del servicio
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.cont.2
Descripcion Control: Distribución de las VPCs entre múltiples regiones y zonas de disponibilidad de AWS para garantizar la continuidad del servicio ante fallos regionales o zonales.

op.cont.3.aws.drs.1Pruebas periódicas1

Attributes

Tipo: recomendacion
Marco: operacional
Nivel: alto
Categoria: continuidad del servicio
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: op.cont.3
Descripcion Control: La organización puede hacer uso del servicio AWS Elastic Disaster Recovery, programando y ejecutando pruebas no disruptivas (simulacros que no afectan ni al servidor de origen ni a la replicación de datos en curso) que prueben el correcto funcionamiento de las recuperaciones del plan de continuidad.

op.mon.1.aws.gd.4Detección de intrusión0

Attributes

Tipo: medida
Marco: operacional
Nivel: alto
Categoria: monitorización del sistema
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: op.mon.1
Descripcion Control: La administración de Amazon GuardDuty quedará delegada exclusivamente a la cuenta de seguridad para garantizar una correcta asignación de los roles para este servicio.

mp.com.2.aws.vpn.1Protección de la confidencialidad0

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.com.2
Descripcion Control: Garantizar que las conexiones entre la VPC y la red local (remota) se canalizan a través de VPN Site-to-Site o bien a través de Direct Connect.

mp.com.2.aws.vpn.2Protección de la confidencialidad0

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: confidencialidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.com.2
Descripcion Control: Garantizar que las conexiones entre la VPC y la red local (remota) se canalizan a través de VPN Site-to-Site o bien a través de Direct Connect.

mp.com.3.r1.aws.vpn.1Redes privadas virtuales0

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de las comunicaciones
Dimensiones: integridad
autenticidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.com.3.r1
Descripcion Control: Utilizar VPN Site-to-Site para conectar las VPCs con las redes locales o externas.

mp.si.2.r1.aws.kms.1Productos certificados0

Attributes

Tipo: refuerzo
Marco: medidas de protección
Nivel: alto
Categoria: protección de los soportes de información
Dimensiones: confidencialidad
integridad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.si.2.r1
Descripcion Control: Utilizar productos certificados conforme a op.pl.5, si bien AWS KMS es un producto certificado cuyo uso satisface la exigencia de este control.

mp.sw.2.r1.aws.cfgd.1Aceptación y puesta en servicio0

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.sw.2.r2
Descripcion Control: Habilitar CloudFormation Guard para el apoyo en las tareas de inspección de recursos no conformes implementados en el código fuente.

mp.info.6.aws.iam.1Copias de seguridad0

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.info.6
Descripcion Control: La organización puede hacer uso de roles y políticas IAM para la definición y asignación de permisos en cuanto a controles de acceso de las copias de respaldo.

mp.info.6.aws.bcku.1Copias de seguridad3

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.info.6
Descripcion Control: Para los procedimientos de respaldo de cualquiera de los dos entornos (local y nube) y siempre y cuando se utilicen recursos compatibles en el entorno local, la entidad puede hacer uso de AWS Backup, que permite elaboración de planes de respaldo y la definición de reglas de frecuencia, ciclo de vida, lugar de almacenamiento y etiquetado de las copias de seguridad.

mp.info.6.aws.tag.1Copias de seguridad1

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: automático
Id Grupo Control: mp.info.6
Descripcion Control: Los planes de respaldo se pueden integrar con AWS Tags, acotando con base en las etiquetas de los recursos el alcance de cada proceso de copiado.

mp.info.6.r2.aws.bcku.1Protección de las copias de seguridad0

Attributes

Tipo: recomendacion
Marco: medidas de protección
Nivel: alto
Categoria: protección de la información
Dimensiones: disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.info.6.r2
Descripcion Control: La organización puede hacer uso de la nube de AWS como ubicación diferente para el almacenamiento de la copia de seguridad separada del resto o, incluo, utilizar los servicios de ubicación para separar una copia de seguridad en una ubicación diferente dentro de la propia nube.

mp.s.1.aws.wm.1Protección del correo electrónico0

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.s.1
Descripcion Control: Se deberá hacer uso del cifrado de la información contenida en los correos electrónicos.

mp.s.1.aws.wm.3Protección del correo electrónico0

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.s.1
Descripcion Control: En SES, se debe hacer uso de la opción que permite a los usuarios enviar correo electrónico cifrado con S/MIME

mp.s.1.aws.wm.2Protección del correo electrónico0

Attributes

Tipo: requisito
Marco: medidas de protección
Nivel: alto
Categoria: protección de los servicios
Dimensiones: confidencialidad
integridad
trazabilidad
autenticidad
disponibilidad
Dependencias
Modo Ejecucion: manual
Id Grupo Control: mp.s.1
Descripcion Control: Habilitar el registro de eventos de Workmail en CloudWatch para realizar el seguimiento de mensajes con spam.