1.

Modelo de Control de acceso:

¿Qué es?

Un modelo de control de acceso es el proceso de decidir quién puede utilizar

sistemas específicos, los recursos y sus aplicaciones. Es también, un conjunto de
criterios definidos que un administrador del sistema utiliza para definir permisos a
los usuarios del sistema.

Existen tres modelos principales de control de acceso: MAC (Control de Acceso

Obligatorio, Mandatory Access Control), DAC (Control de Acceso Discrecional,
Discretionary Access Control), y RBAC (Control de Acceso Basado en Roles, Rule
Based Access Control).

 Control de Acceso Obligatorio (Mandatory Access Control) (MAC)

En el modelo de control de acceso obligatorio se asignan las funciones de los

usuarios estrictamente de acuerdo a los deseos del administrador del sistema.
Este es el método de control de acceso más restrictivo, porque el usuario final no
puede establecer controles de acceso en los archivos. El Control de acceso
obligatorio es muy popular en ambientes/instalaciones altamente secretas, como
la industria de defensa donde los archivos «perdidos» pueden afectar a su
seguridad nacional.

 Control de Acceso Discrecional (Discretionary Access Control) (DAC)

El control discrecional de acceso esta en el otro extremo del espectro de acceso,

diferente del modelo de acceso obligatorio, ya que es el menos restrictivo de los
tres modelos. En el marco del modelo de acceso discrecional el usuario final tiene
total libertad para asignar los derechos a los objetos que desea.

Este nivel de control completo sobre los archivos puede ser peligroso porque si un
atacante o algún Malware compromete la cuenta a continuación, el usuario
malicioso o código tendrá un control completo también.
  Controles de Acceso Basado en Roles (Rule Based Access Control)
(RBAC)

La Función de control de acceso basado en permisos o Roles crea la asignación

de derechos/permisos de acceso a funciones o trabajos específicos dentro de la
empresa; RBAC a continuación, asigna funciones a los usuarios, con lo que le
concede privilegios. Este modelo de control de acceso a las funciones de manera
efectiva en las organizaciones reales es, debido a que a los archivos y los
recursos se le asignan los permisos de acuerdo a las funciones que lo requieran .
Por ejemplo, un administrador del sistema puede crear una función de acceso
para los gerentes solamente. Así, un usuario se le tendría que ser asignado el
papel de un gerente para utilizar esos recursos.

Uno de los modelos de control menos discutido es la Regla de acceso control de

acceso basado en roles (RBAC). Comparte las mismas siglas como control de
acceso basado en roles, pero incorpora la gestión de arriba hacia abajo, similar al
control de acceso obligatorio. Los permisos de control de acceso sólo son
asignados por el administrador del sistema.

Las reglas se adjuntan a cada recurso, que regula los niveles de acceso que se
permiten cuando un usuario intenta utilizarla. Un ejemplo de norma de control de
acceso basado, sólo permite un recurso para ser utilizado en determinados
momentos del día o de permitir sólo direcciones IP específicas para acceder al
recurso.

Como el departamento está compuesto por 25 personas distribuidas por

áreas, se escoge el control de acceso RBAC lo que garantiza que los
usuarios y equipos solo puedan tener acceso a los niveles que pertenezcan.
 2. Sistema de autenticación
La autenticación es el acto o proceso de confirmar que algo (o alguien) es quien
dice ser. A la parte que se identifica se le llama probador. A la parte que verifica la
identidad se la llama verificador. Es habitual que el probador sea un usuario que
quiere acceder a ciertos recursos y el verificador sea un sistema que protege el
acceso a dichos recursos y tiene que verificar que el que accede sea un usuario
que tiene permisos para acceder a esos recursos.
Para poder tener autenticación es necesaria, como condición previa, la existencia
de identidades biunívocamente identificadas de tal forma que se permita su
identificación.

La autenticación de múltiples factores (MFA) asegura que un usuario es quien dice

ser, cuantos más factores se utilicen para determinar la identidad de una persona,
mayor será la fiabilidad de la autenticidad.

La MFA puede lograrse utilizando una combinación de los siguientes factores:

 Algo que usted sabe – contraseña o PIN

 Algo que usted tiene – token o tarjeta inteligente (autenticación de dos
factores)
 Algo que usted es – biométrica como una huella digital (autenticación de
tres factores)

Adecuándonos a las características del centro y a la tecnología disponible, estos

son los factores de autenticación:

 Algo que usted sabe – contraseña

 Algo que usted tiene –usuario
 Algo que usted es – rol, teniendo en cuenta que el Modelo de Control de
Acceso es basado en Roles (de acuerdo a las 3 áreas: Desarrollo,
Explotación y Soporte Técnico)