ENS desde dentro (XIV): Identificación (op.acc.1) — quién eres en el sistema

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, empieza por aquí:
https://www.handersonboratto.com/blog/que-es-ens/

👉 O continúa con el artículo anterior:
https://www.handersonboratto.com/blog/ens-control-acceso-op-acc

Introducción

Ya has visto:

👉 cómo controlar el acceso
👉 qué exige el ENS

Pero todo empieza por algo básico:

💣 saber quién es quién

👉 Aquí entra op.acc.1

Qué pide realmente el ENS

Muy directo:

👉 cada usuario debe ser único
👉 cada acción debe poder trazarse
👉 cada acceso debe estar identificado

💣 Sin identificación no hay control

👉 El ENS exige:

• identificadores únicos
• nada de cuentas compartidas
• separación por roles

🧭 Paso 1: Identificadores únicos

Cada usuario debe tener:

👉 un identificador único

💣 No vale:

❌ cuentas genéricas
❌ cuentas compartidas

👉 Ejemplo real:

• usuario: jperez
• administrador: jperez.admin

💣 Dos cuentas. Dos identidades.

🧭 Paso 2: Separación de roles

Esto es clave en auditoría.

👉 Si un usuario tiene varios roles:

• usuario normal
• administrador
• operador

👉 Debe tener:

💣 un identificador distinto por rol

👉 Ejemplo:

• jperez → uso diario
• jperez.admin → administración

💣 Esto permite:

• trazabilidad
• control de privilegios
• auditoría real

🧭 Paso 3: Nada de cuentas compartidas

Esto es automático:

💣 cuenta compartida = no conforme

👉 Ejemplo típico:

• soporte
• admin
• usuario1 usado por varios

👉 Problema:

❌ no sabes quién hizo qué

🧭 Paso 4: Gestión del ciclo de vida

Las cuentas no son eternas.

👉 Deben:

• crearse con control
• modificarse cuando cambia el rol
• eliminarse cuando ya no aplican

💣 Especialmente importante:

👉 bajas de usuarios

👉 Ejemplo real:

• usuario se va
• cuenta sigue activa

💣 Resultado:

❌ riesgo + no conformidad

🧭 Paso 5: Lista de usuarios autorizados

Debes poder generar:

👉 un listado actualizado de usuarios

👉 Desde:

• Active Directory
• aplicaciones
• sistemas

💣 Si no tienes lista:

👉 no tienes control

🧪 Evidencias que sí valen

Esto es lo que te van a pedir:

✔ Buenas evidencias

• listado de usuarios en Active Directory
• captura de usuarios en aplicación
• separación de cuentas (user/admin)
• inventario actualizado

❌ Malas evidencias

• documento manual
• listado desactualizado
• explicación sin prueba

💣 Si no sale del sistema, no vale

🧠 Ejemplo real

El auditor revisa:

👉 usuarios en Active Directory

Detecta:

• cuentas duplicadas
• cuentas sin uso
• cuentas sin responsable

💣 Resultado:

❌ no conforme

Error típico (muy común)

❌ cuentas compartidas
❌ cuentas admin sin separar
❌ usuarios sin identificar
❌ cuentas antiguas activas

💣 Resultado:

👉 pérdida de trazabilidad
👉 riesgo de seguridad
👉 fallo en auditoría

Lo que te van a pedir en auditoría

👉 listado de usuarios
👉 evidencias de identificación única
👉 separación de roles
👉 gestión de cuentas

👉 Y la pregunta clave:

💣 ¿puedes saber quién hizo qué?

Conclusión

La identificación es la base.

👉 Sin identidad:

• no hay control
• no hay auditoría
• no hay seguridad

💣 Todo empieza aquí

Próximo paso

Seguimos avanzando.

👉 En el siguiente artículo:

op.acc.2 – Requisitos de acceso

👉 Veremos:

• cómo se asignan permisos
• cómo justificarlos
• cómo demostrarlo en auditoría

👉 Accede a la guía completa del ENS:
https://www.handersonboratto.com/ens-desde-dentro/