Controles de acceso discrecional (DAC)

Los controles de acceso discrecional (DAC, por sus siglas en inglés) son medidas de ciberseguridad que permiten o restringen el acceso según la discreción del empleado, en lugar de la del propietario del archivo o recurso. Por ejemplo, si Bob tiene derechos de administrador en su computadora, puede instalar cualquier software que desee. Del mismo modo, si una carpeta llamada "Recursos Humanos" es accesible para todos en el servidor de archivos, los empleados podrían acceder a estos archivos restringidos a su discreción (con el riesgo de ser despedidos). Sin embargo, la instalación o el acceso a un archivo queda a discreción del empleado. A diferencia de los DAC, los controles de acceso obligatorio (MAC, por sus siglas en inglés) establecen restricciones tecnológicas que impiden a los empleados instalar software en sus computadoras, eliminando los derechos de administrador de cada usuario final. Impiden el acceso a los archivos de RR. HH. estableciendo permisos restrictivos en los directorios donde se almacenan y limitando el acceso únicamente a los empleados de RR. HH. Los MAC impiden que se realicen ciertas acciones, incluso cuando un empleado las intenta. Los DAC permiten que los empleados realicen acciones incluso cuando una política de gobernanza establece que dichas actividades no están permitidas.

¿Qué significa esto para mi PYME?

La implementación de controles de acceso discrecional (DAC) es algo que todas las empresas deberían adoptar. CyberHoot recomienda que los MSP y las pymes establezcan políticas de gobernanza para guiar el comportamiento y la toma de decisiones de los empleados cuando los controles MAC no sean posibles. Esto incluiría lo siguiente:

1. Adoptando un administrador de contraseñas para que sea más fácil cumplir con los requisitos de longitud discrecional de contraseñas en aplicaciones SaaS en línea.
2. Guiar y capacitar a los empleados sobre por qué la longitud de una contraseña es más importante que la complejidad para que elijan sabiamente al crear contraseñas únicas para todas sus cuentas en línea individuales.
3. Establecer una Política de Manejo de Información que exija a los empleados destruir documentos confidenciales en lugar de desecharlos. Esta misma política prohíbe el envío de correos electrónicos sin cifrar con información crítica y confidencial. Estos controles son discrecionales y dependen de la concienciación y el buen comportamiento de los empleados.

Mejores prácticas adicionales para proteger a los MSP y las PYMES

CyberHoot también recomienda las siguientes prácticas recomendadas para proteger a las personas y a las empresas contra los ataques cibernéticos en línea y limitar los daños que estos causan:

• Exigir autenticación de dos factores en cualquier Solución SaaS o cuentas críticas
• Se requieren contraseñas de más de 14 caracteres en su Políticas de gobernanza
• Capacitar a los empleados Para detectar y evitar el correo electrónico phishing, ataques
• Verificar que los empleados Puede detectar y evitar correos electrónicos de phishing probándolos
• Realice una copia de seguridad de los datos mediante el Método 3-2-1
• Incorporar el Principio de menor privilegio
• Lleve a cabo una evaluación de riesgos cada dos o tres años

Para obtener más información sobre los controles discrecionales, mire este breve video:

Término relacionado : Controles de acceso obligatorios (MAC)

Fuente : Techopedia