V.

Especificaciones técnicas del servicio:

Instalación Servicio Gestionado iACCESS

Objetivo

Administrar y controlar de manera segura las identidades de los usuarios dentro de “NOMBRE
DEL CLIENTE”. Algunos de los objetivos principales son:

Autenticación: Verificar la identidad de los usuarios para garantizar que solo las personas
autorizadas tengan acceso a los recursos y servicios del “NOMBRE DEL CLIENTE”.

Autorización: Determinar los niveles de acceso y los permisos que se otorgan a cada usuario,
asegurando que solo tengan acceso a la información y los recursos que necesitan para realizar sus
funciones.

Administración de cuentas: Gestionar de manera eficiente las cuentas de usuario, incluyendo la

creación, modificación y eliminación de cuentas, así como la gestión de contraseñas y otros
atributos de identidad y cumplimiento normativo:
Garantizar que “NOMBRE DEL CLIENTE” cumpla con las regulaciones y políticas de seguridad
establecidas, como la protección de datos personales y la privacidad de los usuarios.

Seguridad: Proteger la información confidencial y los activos de información que hacen parte de la
infraestructura del cliente contra amenazas internas y externas, como el robo de identidad, el acceso
no autorizado y el fraude.

Productividad: Facilitar el acceso rápido y seguro a los recursos y servicios necesarios para que los
usuarios puedan realizar sus tareas de manera eficiente, sin obstáculos innecesarios.

Alcance
La definición de los criterios para lograr el éxito que las personas autorizadas tengan acceso
adecuado a los recursos tecnológicos y a sus propiedades digitales, incluye la identificación,
autenticación y autorización de una persona o personas a tener acceso en aplicaciones, sistemas o
redes, así como al modo en que gobiernan, recopilan, analizan y almacenan de forma segura los
datos de usuarios asociando derechos de usuario y restricciones con identidades previamente
establecidas como elemento esencial en materia de seguridad de la información.

El servicio que realizará InteliCorp está basado en el requerimiento del cliente “NOMBRE DEL
CLIENTE” que se describe de la siguiente manera:

Efectuar la instalación de la herramienta, para que los clientes pueden realizar el inicio de sesión y
autogestión de sus contraseñas de forma segura y realizar Auditoria de los usuarios y equipos
tecnológicos en el Directorio Activo (DA) y las diferentes aplicaciones de “NOMBRE DEL
CLIENTE”, de forma controlada, no intrusiva y evitando poner en riesgo la operatividad de los
sistemas que se encuentra en producción.

Metodología

La metodología de InteliCorp es producto de su extensa trayectoria desde el año 2007 y experiencia

prestando servicios profesionales en seguridad de la Información y se basa en el estándar BS 7799,
reconocido internacionalmente al ser aprobado ISO/IEC 17799 en diciembre de 2000 y
posteriormente en el ISO 27001:2005, así como metodología OAuth y SAML que cumple con los
estándares de autenticación basados en web, lo que permite una autenticación segura y sin
contraseñas en aplicaciones web y móviles.

La modalidad utilizada para implementar este servicio es la instalación de la herramienta de forma

controlada teniendo toda la información necesaria, esta se basa en el desarrollo de etapas definidas,
de acuerdo con una estrategia previa, estas fases son llevadas a cabo de forma interna a través de
Analistas especializados en el área.

Fases de la Metodología

Las fases mencionadas se basan en el siguiente esquema:

1. Planeación

En esta fase se realizará la planeación para la ejecución efectiva de cada una de las tareas que
conforman la metodología.

Adicionalmente se itera en cada fase la etapa de planeación, respondiendo de forma específica los
requerimientos y la utilización de resultados de fases previas.

2. Reconocimiento Activo y Pasivo

Se recopila información relacionada con la organización, así como cualquier información disponible
que pueda ayudar a determinar factores útiles para la implementación (nombres de usuarios,
dominios, nomenclaturas, aplicaciones, cantidad de equipos tecnológicos (switches, pc, etc)

3. Pruebas de instalación de la herramienta

A partir de la información recopilada en la fase de investigación pasiva y la información provista

por el cliente, se inician pruebas en un ambiente controlado que buscan determinar:

 Conexión con los dominios

 Implementación del servicio de autogestión de contraseñas (endpoint)
 MFA en las diferentes aplicaciones (de ser requerido)
 Auditoria de los usuarios, equipos, políticas

4. Análisis
 Una vez realizada la instalación de la herramienta, se verifica mediante un análisis, de forma de
priorizar la corrección de las diversas posibles fallas con los servicios.

5. Navegación

Se utilizan los recursos obtenidos en las fases anteriores para lograr acceso a los sistemas
(aplicaciones, directorios activos, redes internas, equipos, etc.) En esta fase se repiten
procedimientos de las fases anteriores, pero cambiando el objetivo y utilizando los sistemas
adquiridos como pivotes.
El alcance de la navegación puede variar dependiendo de los objetivos planteados, en este caso el
objetivo planteado incluye todos los sistemas de apoyo al dominio, lo cual puede incluir:

- Servidores de bases de datos

- Enrutadores

- Firewalls

6. Documentación

La documentación busca plasmar en detalle todos los pasos de la instalación de la herramienta

como:

 Requisitos del sistema: Esta información es importante para futuras instalaciones y para el soporte
técnico. Debe incluir los requisitos de hardware y software para los servidores, los clientes y las
aplicaciones.

 Procedimiento de instalación: Este documento debe proporcionar instrucciones paso a paso para la
instalación de la herramienta. Debe incluir información sobre la creación de cuentas de usuario, la
configuración de los servicios y la instalación de las aplicaciones.

 Configuración de la herramienta: Este documento debe proporcionar una descripción de la

configuración de dicha aplicación, como los informes y las diferentes herramientas.

 Problemas y soluciones: Este documento debe documentar cualquier problema que se haya
encontrado durante la instalación o el uso de la herramienta. Debe incluir las soluciones a los
problemas.
 Lista de Usuarios y Permisos: Esta información es importante para el control de acceso y seguridad.
Debe incluir una lista de todos los usuarios que tienen acceso a la herramienta, así como su
permisología.

 Políticas y Procedimientos: Esta información es importante para garantizar el uso adecuado de la

herramienta. Debe incluir políticas y procedimientos para la creación de campañas, gestión de datos
y seguridad.

 Registro de cambios: Este documento debe rastrear todos los cambios realizados en la herramienta.
Debe incluir información sobre el cambio, así como el usuario y la fecha en que se realizó.

 Dashboard de la herramienta (Auditoria): Nuestro dashboard del Servicio Gestionado de iACCESS

es una herramienta que permite visualizar la información relacionada a los hallazgos encontrados
 paralelamente a la ejecución del servicio en un solo lugar, de forma clara y concisa sin esperar al
final del Servicio para la recepción de los informes para conocer el estado actual de la organización.
Este tipo de dashboard contiene información sobre los usuarios (creación, modificación,
eliminación y suspensión de cuentas de usuarios), detalle de los equipos, postura de seguridad,
servicio de autogestión. En definitiva, nuestro dashboard del servicio gestionado de iACCESS es un
valor agregado de nuestro servicio, siendo útil e imprescindible para cualquier equipo que quiera
tener un seguimiento detallado y actualizado de la gestión de usuarios.

Requerimientos al cliente

 La implementación del servicio e instalación de la herramienta requerirán de:

 Acceso a las instalaciones, en general.
Acceso a los segmentos de red vía VPN, proporcionado por el cliente, para optimizar el tiempo
de ejecución de la instalación.
 Cuenta de usuario de la red con los accesos y privilegios entregados a un usuario de nivel
básico dentro de la organización.
 Contacto o contactos de personas responsables de la resolución de problemas técnicos en la
instalación, en caso de que se requiera la restitución de sistemas caídos o resolución de
problemas técnicos que sean necesarios para garantizar la continuidad de la instalación
 Ambiente controlado para la realizar las pruebas con las aplicaciones una vez instalada la
herramienta
 Número de usuarios que utilizarán la herramienta, esto te ayudará a determinar el tamaño y la
escala de la implementación.
 Tipo de dispositivos donde se utilizará la herramienta, tales como computadoras de escritorio,
laptops, dispositivos móviles, etc.
 Definir las necesidades de seguridad específicas de la organización, como autogestión, MFA,
Auditoria. Con el fin de determinar qué características y funcionalidades de seguridad deben
estar incluidas en el servicio.
 Mencionar los sistemas o herramientas existentes en la organización que deben integrarse con la
herramienta, como sistemas de gestión de tickets, herramientas de monitoreo, etc. Con el objeto
evaluar la compatibilidad y la capacidad de integración de la herramienta con otros sistemas.
 Requerimientos del sistema para la instalación de la herramienta.

Herramientas y equipos a utilizarse en la ejecución del servicio

La herramienta a utilizar para la implementación es AD360 de Manage Engine

ManageEngine AD360 es una solución integral de gestión de identidad y acceso (IAM) que ayuda a
las organizaciones a administrar y proteger las identidades de los usuarios, facilitar la gobernanza
de la identidad y garantizar el cumplimiento. AD360 es una solución híbrida que puede utilizarse
para gestionar Active Directory (AD) locales, Microsoft 365 y entornos híbridos.

Los modulos que se encuentran en el servicio de AD360 son:

 ADmanagerPlus es un software de administración y generación de informes de usuarios,
grupos y objetos de Active Directory (AD), Office 365 y MS Exchange. Que Permite
administrar y gestionar objetos de AD fácilmente y generar informes instantáneos.

 ADAudit Plus es una completa solución web para la generación de informes y la realización de
auditorías de cambios en Active Directory en tiempo real. Audita su Active Directory de
manera local, en Windows Server, Azure o incluso en puestos de trabajo. Monitorea todos los
elementos de AD mediante esta herramienta.

 ADSelfService Plus es una solución de gestión del restablecimiento de las contraseñas por
parte del usuario final. Con ADSelfService Plus, los usuarios finales tienen la posibilidad de
resolver sus problemas de contraseñas mediante auto-servicio, además de tener el servicio de
autenticación única y por múltiples factores.