Lo que pide un auditor, o el motor de evidencias de Sekit.
Control de acceso físico y de visitas
Cómo se controla quién entra a las instalaciones y a las zonas restringidas (tarjetas, llaves, registro), y cómo se gestionan las visitas.
Del catálogo de evidencias de Sekit
En la práctica
Este control depende de que el sistema de tarjetas o cerraduras coincida con la lista de acceso, no del hardware en sí. Una oficina de diez personas con una cerradura inteligente con código y una hoja de cálculo de quién lo tiene puede aprobar, mientras que una empresa con un costoso lector de tarjetas falla si ex empleados aún conservan tarjetas activas. Los auditores cruzan el registro de revisión de accesos con el registro de visitantes, y comprueban si el acceso de alguien que se fue recientemente se revocó el mismo día, no semanas después en la siguiente revisión programada.
Brechas habituales
La tarjeta de un ex empleado seguía activa dos meses después de su último día, porque la revisión de accesos es solo anual y nadie activó una revocación fuera de calendario.
Los visitantes firman un registro en papel en recepción pero nunca se les acompaña más allá del vestíbulo, así que la regla de acompañamiento de la política no se cumple en la práctica.
El código de la puerta de la sala de servidores no ha cambiado desde que se instaló, aunque varios contratistas que ya no trabajan con la empresa lo conocen.
Preguntas que hará tu auditor
¿Con qué rapidez se retira el acceso físico cuando alguien deja la empresa?
Llaves, tarjetas y códigos de alarma se revocan el mismo día en que alguien se va o cambia de puesto, antes de la revisión periódica programada.
¿Cómo se gestiona a los visitantes una vez que entran al edificio?
Los visitantes se registran, reciben identificación y son acompañados según la política de gestión de visitantes, registrado en la evidencia de accesos físicos y visitantes.
¿Qué mecanismo controla la entrada a la sala de servidores o de registros?
La entrada usa un mecanismo revocable por persona, como un lector de tarjetas o una cerradura inteligente con código, con registros de entrada cuando es viable.
¿Con qué frecuencia se revisan los derechos de acceso físico?
Los derechos de acceso, incluidos quién tiene llaves, tarjetas y códigos de alarma, se revisan con calendario fijo además de cualquier revocación activada por una baja.
Dónde lo exige la regulación
El art. 13.3 de NIS2 exige control perimetral y de acceso físico para las instalaciones que alojan sistemas de red e información.
ENS mp.if.2 exige identificar a las personas que acceden a las áreas restringidas.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.