Inactive sessions are formally required to terminate after a defined period
Fijar un tiempo máximo de inactividad antes de bloquear la sesión es una regla concreta de control de acceso sobre quién puede actuar en una sesión ya autenticada, no solo quién puede iniciarla.
Los tiempos de espera de sesión inactiva protegen una sesión ya autenticada y no la credencial en sí, una salvaguarda relacionada que se ubica junto a los controles de información de autenticación de A.5.17.