CIP-01 - Inventario de Identidad
Control de gestión y registro de identidades
🎯 Objetivo del Control
Mantener un inventario completo y actualizado de todas las identidades (humanas y no humanas) que tienen acceso a los sistemas y recursos de la organización.
📋 Descripción
Este control establece el registro y gestión de:
- Identidades de empleados y contratistas
- Cuentas de servicio y aplicaciones
- Identidades de terceros y proveedores
- Cuentas administrativas y privilegiadas
- Identidades federadas y externas
🛡️ Controles Requeridos
Tipos de Identidades
- Identidades Humanas:
- Empleados internos
- Contratistas y consultores
- Proveedores y terceros
- Clientes (B2B)
- Identidades No Humanas:
- Cuentas de servicio
- Service principals
- Managed identities
- API keys
- Certificados de máquina
Atributos de Inventario
- ID único de identidad
- Nombre y apellido (humanos)
- Email corporativo
- Departamento y rol
- Tipo de identidad
- Estado (activa/suspendida/eliminada)
- Fecha de creación
- Fecha de última actividad
- Fecha de revisión de acceso
- Propietario/responsable
Gestión del Ciclo de Vida
- Onboarding: Creación de identidad con workflow aprobado
- Cambios: Actualización por cambio de rol o departamento
- Offboarding: Desactivación inmediata al término de relación
- Revisión periódica (trimestral)
- Limpieza de identidades inactivas
Integración con Sistemas
- Directorio activo / Azure AD / Okta
- HRIS (sistema de recursos humanos)
- ITSM para solicitudes
- SIEM para correlación de eventos
📊 Métricas e Indicadores
- Número total de identidades activas
- Porcentaje de identidades con última actividad >90 días
- Identidades sin propietario asignado
- Tiempo promedio de aprovisionamiento
- Tasa de cumplimiento de revisión periódica
🔗 Herramientas Recomendadas
- Identity Providers: Azure AD/Entra ID, Okta, Auth0, Ping Identity
- HRIS: Workday, BambooHR, SAP SuccessFactors
- IGA: SailPoint, Saviynt, Microsoft Entra Identity Governance
- CMDB: ServiceNow, Jira Assets
📚 Referencias
- Política de Control de Acceso
- Procedimiento de Alta y Baja de Usuarios
- Política de Seguridad Ciclo de Vida del Empleado
- NIST SP 800-63 - Digital Identity Guidelines
- ISO 27001:2022 - A.5.15, A.5.16, A.5.17
✅ Checklist de Implementación
- Directorio centralizado de identidades implementado
- Integración con HRIS configurada
- Proceso de onboarding/offboarding automatizado
- Clasificación de tipos de identidades
- Workflow de aprobación de creación de cuentas
- Revisión periódica programada
- Dashboard de identidades activas
- Proceso de limpieza de cuentas inactivas
- Auditoría de identidades habilitada
- Documentación de procesos
¿Te ha resultado útil esta página?
Última modificación: 24 de noviembre de 2025