Alcance de la revisión de accesos: ¿qué incluir y qué no?

No todo usuario ni todo sistema tiene que entrar en cada revisión. Aquí te explicamos cómo delimitar el alcance para que sea manejable y defendible ante una auditoría.

Definir el alcance de la revisión es el primer paso del proceso de revisión. Un error aquí significa demasiado trabajo o, peor, pasar algo importante por alto.

Personas dentro del alcance

• Empleados activos: siempre.
• Próximos a incorporarse: aún no han empezado, no forman parte del alcance todavía.
• Próximos a salir: sí están en el alcance — última verificación antes de la baja.
• Inactivos desde la revisión anterior: incluidos una vez más para confirmar que el acceso fue realmente revocado.
• Contratistas y terceros externos: proceso de revisión independiente con su propia cadencia (habitualmente mensual).

Sistemas dentro del alcance

• Todos los tier-1 (críticos): siempre.
• Tier-2: en cada revisión de forma estándar.
• Tier-3 (SaaS secundario): semestralmente, salvo que haya un motivo específico.

Documenta tus decisiones de alcance

Incluye la política de alcance en tu ISMS. Por cada revisión: un snapshot del alcance que indique qué se incluyó. Así un auditor puede comparar entre revisiones y comprobar que eres consistente.

Ver también: revisión por muestreo o completa, inventario SaaS.