ENS RD 311/2022 - Categoría Alta

requisito

operacional

alto

control de acceso

automático

op.acc.1

Se deberá utilizar las credenciales de acceso de la organización configurando el uso de cuentas de usuario y grupos con Microsoft Entra.

requisito

operacional

alto

control de acceso

automático

op.acc.1

Se deberá utilizar el acceso a través del directorio habilitado en el App Service

refuerzo

operacional

alto

control de acceso

automático

op.acc.1.r1

La asignación del usuario deberá realizarse de manera única, singularizando a la persona asociada a cada identificador en Microsoft Entra

requisito

operacional

alto

control de acceso

automático

op.acc.2

Se debe aplicar la restricción de acceso al portal de Azure y la habilitación de Microsoft Entra Protection para minimizar los riesgos de inicio de sesión y comportamientos inusuales.

refuerzo

operacional

alto

control de acceso

automático

op.acc.2.r1

Requisito de la configuración a través de la aplicación de roles RBAC

requisito

operacional

alto

control de acceso

automático

op.acc.3

Se deberá separar las funciones según el entorno de trabajo, y según las obligaciones, asegurándo que un usuario no pueda tener funciones de desarrollo y operación.

refuerzo

operacional

alto

control de acceso

manual

op.acc.3.r1

La configuración, manenimiento, auditoría o supervisión no debe ser realizada por la misma persona, se deberá asignar roles específicos para cada usuario o grupo en el directorio de roles de Microsoft Entra.

requisito

operacional

alto

control de acceso

automático

op.acc.5

El usuario externo deberá contar con un usuario de la organización creado y gestionado para sus actividades de colaboración durante el período de tiempo definido en el contrato, de igual manera que el mecanismo de autenticación (usuarios de la organización) y será gestionado en la organización con Microsoft Entra.

refuerzo

operacional

alto

control de acceso

automático

op.acc.5.r2

Proteger el acceso a los datos y aplicaciones a travez de la autenticación multifactor (MFA) de Microsoft Entra

refuerzo

operacional

alto

control de acceso

automático

op.acc.5.r3

Utilizar el servicio KEY Vault para la gestión de certificados asociados a Cloud Services

refuerzo

operacional

alto

control de acceso

automático

op.acc.5.r4

Habilitación de autenticación MFA para usuarios externos

refuerzo

operacional

alto

control de acceso

automático

op.acc.5.r5

Habilitar los valores de seguridad de Entra Id por defecto

requisito

operacional

alto

control de acceso

automático

op.acc.6

El acceso del usuario será gestionado desde Microsoft Entra

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r1

Deberá habilitarse el vencimiento de las credenciales de los usuarios

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r1

Las credenciales deberan rotarse cada 90 días o menos

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r1

Habilitar la protección de Defender para los KEY Vault

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r2

Proteger el acceso a los datos y aplicaciones a travez de la autenticación multifactor (MFA) de Microsoft Entra

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r3

Utilizar el servicio KEY Vault para la gestión de certificados asociados a Cloud Services

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r4

Habilitación de autenticación MFA para usuarios de la organización

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

Registro de la actividad en la sesión del usuario configurando los valores de seguridad por defecto.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

El registro de actividad de eliminación en los servicios de la nube debe de estar habilitado.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

El registro de actividad en los servicios de PostgreSQL debe de estar habilitado.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

El registro de actividad en los servicios de SQL Server debe de estar habilitado.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

El registro de actividad en los servicios de MySQL debe de estar habilitado.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r5

El registro de actividad en los servicios de aplicación debe de estar habilitado.

refuerzo

operacional

alto

control de acceso

automático

op.acc.6.r8

Se utilizará como mecanismo de autenticación adicional a la contraseña, un factor de autenticación.

refuerzo

operacional

alto

control de acceso

manual

op.acc.6.r9

requisito

operacional

alto

explotación

automático

op.exp.8

Se habilitará el monitor de diagnóstico para cada categoría usada dentro de la subscripción.

refuerzo

operacional

alto

explotación

automático

op.exp.8.r1

Registro de la actividad en las cuentas de almacenamiento

refuerzo

operacional

alto

explotación

manual

op.exp.8.r2

refuerzo

operacional

alto

explotación

automático

op.exp.8.r3

La configuración de los registros debe estar configurada con un período de retención.

refuerzo

operacional

alto

explotación

automático

op.exp.8.r4

Configuración de la actividad de las cuentas de almacenamiento.

refuerzo

operacional

alto

explotación

automático

op.exp.8.r4

Configuración del acceso por defecto a las cuentas de almacenamiento definida como denegada

refuerzo

operacional

alto

explotación

automático

op.exp.8.r4

refuerzo

operacional

alto

explotación

automático

op.exp.8.r5

Activación del monitor de diagnóstico para la revisión automática de eventos.

requisito

operacional

alto

explotación

automático

op.exp.10

Configuración de KEY Vault, limitando el acceso a administradores.

requisito

operacional

alto

explotación

automático

op.exp.10

Habilitación de las claves criptográficas para las cuentas de almacenamiento

refuerzo

operacional

alto

explotación

manual

op.exp.10.r1

Asegurar que los algoritmos utilizados estén aprobados por el CCN

requisito

operacional

alto

continuidad del servicio

manual

op.cont.2

Garantizar la resiliencia y la continuidad a través de planes de recuperación de desastres

requisito

operacional

alto

continuidad del servicio

automático

op.cont.3

Habilitar las pruebas periodicas para los servicios de GCP

requisito

operacional

alto

monitorización del sistema

automático

op.mon.1

Activación del Network Watcher para la captura de paquetes y detección del tráfico de la red.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.1.r1

Activación del Network Flow Log para la identificación del tráfico de la red.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.1.r2

Utilizar Defender para el análisis y verificación de vulnerabilidades detectadas.

requisito

operacional

alto

monitorización del sistema

automático

op.mon.2

Configurar el monitor de diagnóstico para los elementos habilitados de la nube.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.2.r1

Configurar el monitor de alerta para los cambios en los elementos de seguridad habilitados.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.2.r2

Asegurar que el monitor de diagnóstico de la actividad de la subscrición esté activa.

requisito

operacional

alto

monitorización del sistema

automático

op.mon.3

Habilitar Network Watcher para registrar y mantener la información de seguridad centralizada.

requisito

operacional

alto

monitorización del sistema

automático

op.mon.3

Auditoría delos registros de los servicios de GCP con la suficiente retención para la vigilancia de la información

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r1

Habilitar el monitoreo del servidor en defender

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r2

Activar log analícs de Defender para la detección automática de eventos de seguridad.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r3

Se deberá utilizar la evaluación de vulnerabilidades con Defender y el aseguramiento de la notificación de alertas de severidad alta.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r3

Habilitar la protección de amenazas avanzadas para la detección de ciberamenazas en la nube.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r3

Detección de vulnerabilidades en los sistemas de bases de datos

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r4

Se deberá asegurar las notificaciones por correo a los propietarios a través de Defender.

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r5

Aplicación de medidas para restringir el acceso a datos sin autorización en los servicios de la nube

refuerzo

operacional

alto

monitorización del sistema

automático

op.mon.3.r6

Utilizar las alertas para las inspecciones de seguridad

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.1

Habilitar la restricción de acceso para el tráfico por internet a través de RDP

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.1

Habilitar la restricción de acceso para el tráfico por internet a través de SSH

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.1

Habilitar la restricción de acceso para el tráfico por internet a través de UDP.

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3

Asegurarse de que la comunicación del frontal sea a través de HTTPS.

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3

Asegurarse que la seguridad en transferencia de datos para las cuentas de almacenamiento esté habilitada

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3.r1

Habilitar la integración de las redes privadas virtuales para las funciones de aplicación

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3.r2

La versión de TLS para las aplicaciones debe de ser como mínimo versión 1.2

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3.r2

La versión de TLS para MYSQL debe ser como mínimo versión 1.2

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.3.r2

La versión de TLS para las cuentas de almacenamiento deben ser como mínimo versión 1.2

refuerzo

medidas de protección

alto

protección de las comunicaciones

manual

mp.com.3.r3

Protección de los dispositivos de hardware

refuerzo

medidas de protección

alto

protección de las comunicaciones

manual

mp.com.3.r4

Se utilizará productos certificados CPSTIC del CCN.

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4

Evitar el uso de subnets con acceso a IPs públicas.

requisito

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4

Evitar el uso de subnets con acceso a IPs públicas, para AKS

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4.r1

Implementación de la segmentación de VNET en diferentes ubicaciones

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4.r2

Habilitar las políticas de red para AKS

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4.r2

Habilitar los endpoints privados en cuentas de almacenamiento

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4.r3

Configuración de VNETs para el aislamiento de redes

refuerzo

medidas de protección

alto

protección de las comunicaciones

automático

mp.com.4.r4

Asegurarse de que el acceso a la red de conexión con internet esté protegida.

requisito

medidas de protección

alto

protección de la información

manual

mp.info.2

Configuración de etiquetas para todos los servicios de Azure

requisito

medidas de protección

alto

protección de la información

manual

mp.info.6

Creación de plan de backup para los servicios de Azure

refuerzo

medidas de protección

alto

protección de la información

manual

mp.info.6.r1

Creación del plan de recuperación para los servicios de Azure

refuerzo

medidas de protección

alto

protección de la información

automático

mp.info.6.r2

Asegurarse que los servicios de almacenamiento tenga acceso de confianza.

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4

El acceso a la red de conexión con internet debe estar restringida.

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4.r1

Habilitar el flujo de logs de la red para la captura de los datos enviados

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4.r1

Habilitar la supervisión del rendimiento de aplicaciones para los servicios en la nube

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4.r1

Habilitar defender para los servicios de aplicaciones en la nube

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4.r1

Habilitar defender para los servicios de bases de datos en la nube

requisito

medidas de protección

alto

protección de los servicios

automático

mp.s.4.r1

Habilitar defender para los servicios de almacenamiento en la nube