CNO - Anexo acuerdo 1241 de 2019

CONSEJO NACIONAL DE OPERACIÓN – CNO

COMITÉ TECNOLÓGICO

COMISIÓN TEMPORAL DE CIBERSEGURIDAD

GUÍA DE

CIBERSEGURIDADCiberseguridad – C N O 2

Historia Version Fecha Tipo de Emisión Cambios 0 10.12.2018 Versión para Comité Tecnológico 0.1 14.02.2019 Versión actualizada según comentarios con anexo para comité. Se complementa introducción, revisiones generales y nuevo anexo de cumplimiento 0.2 18.06.2019 Versión para publicar para comentaros. Recoge observaciones del Comité de Ciberseguridad y la mesa sectorial de infraestructura crítica. Se modifica principalmente el capítulo de recuperación y Gestión de incidentes, se revisan tiempos de cumplimiento. 0.3 29.07.2019 Versión con respuesta a solicitudes y comentarios Cambios asociados a las solicitudes y comentarios 0.4 28.08.2019 Versión con inclusión de comentarios faltantes Se agrega capítulo de cadena de suministros y se explicita la resiliencia 0.5 3.10.2019 Versión final Para publicaciónTABLA DE CONTENIDO

1. CIBERSEGURIDAD ................................ ................................ ............................ 5 1.1 Introducción y Antecedentes ....................................................................................... 5 1.2 Glosario .......................................................................................................................... 6

2. APLICACIÓN ................................ ................................ ................................ ...... 9

publicaciónTABLA DE CONTENIDO

1. CIBERSEGURIDAD ................................ ................................ ............................ 5 1.1 Introducción y Antecedentes ....................................................................................... 5 1.2 Glosario .......................................................................................................................... 6

2. APLICACIÓN ................................ ................................ ................................ ...... 9

3. CUMPLIMIENTO ................................ ................................ ................................ . 9

4. IDENTIFICACIÓN DE ACTIVOS CRÍTICOS. ................................ ...................... 9 4.1 Propósito ........................................................................................................................ 9 4.2 Criterios y Requisitos ................................................................................................. 10 4.3 Acciones ....................................................................................................................... 10

5. GOBIERNO Y GESTIÓN DEL PERSONAL ................................ ...................... 10 5.1 Propósito ...................................................................................................................... 10 5.2 Criterios y Requisito ................................................................................................... 11 5.3 Acciones ....................................................................................................................... 11

6. PERÍMETRO ................................ ................................ ................................ ..... 14 6.1 Propósito ...................................................................................................................... 14 6.2 Criterios y Requisitos ................................................................................................. 14 6.3 Acciones ....................................................................................................................... 15

7. GESTIÓN DE LA SEGURIDAD DE CIBERACTIVOS CRÍTICOS ..................... 16 7.1 Propósito ...................................................................................................................... 16 7.2 Criterios y Requisitos ................................................................................................. 16 7.3 Acciones ....................................................................................................................... 17

8. PLAN DE RECUPERACIÓN DE CIBERACTIVOS CRÍTICOS .......................... 18 8.1 Propósito ...................................................................................................................... 18 8.2 Criterios y Requisitos ................................................................................................. 18 8.3 Acciones ....................................................................................................................... 19

9. PLAN DE RESPUESTA ANTE INCIDENTES EN CIBERACTIVOS CRÍTICOS20 9.1 Propósito ...................................................................................................................... 20 9.2 Criterios y Requisitos ................................................................................................. 20 9.3 Acciones ....................................................................................................................... 20

9. PLAN DE RESPUESTA ANTE INCIDENTES EN CIBERACTIVOS CRÍTICOS20 9.1 Propósito ...................................................................................................................... 20 9.2 Criterios y Requisitos ................................................................................................. 20 9.3 Acciones ....................................................................................................................... 20

10. SEGURIDAD FÍSICA DE CIBERACTIVOS CRÍTICOS ................................ .. 21 10.1 Propósito ...................................................................................................................... 21Ciberseguridad – C N O

4

10.2 Criterios y Requisitos ................................................................................................. 21 10.3 Acciones ....................................................................................................................... 22

ANEXO 1 - CRITERIOS DE ACTIVOS CRÍTICOS ................................ ................... 25

ANEXO 2 – LISTA DE CUMPLIMIENTO PERIÓDICO DE LA GUÍA DE CIBERSEGURIDAD ................................ ................................ ................................ . 26 AGRADECIMIENTOS ................................ ................................ .............................. 30Ciberseguridad – C N O 5

1. CIBERSEGURIDAD El Plan Sectorial de Protección y Defensa para la Infraestructura Crítica Cibernética del Sector Electricidad Colombiano estable ció los lineamientos que deben adoptar los diversos agentes del Sector electricidad y operadores de las infraestructuras críticas con el propósito de coordinar acciones eficientes e integrales que permitan prevenir y/o mitigar potenciales amenazas cibernét icas que pongan en riesgo la disponibilidad y continuidad del servicio de energía eléctrica por amenazas ciberneticas.

Ante la modernización tecnológica de la infraestructura del sector eléctrico en Colombia, la automatización de los procesos y de sus centros de operación local y remota, en el entorno de un mundo globalizado y convergente en tecnología IP se tiene que los riesgos asociados a la seguridad de la operación deben ser cubiertos

Colombia, la automatización de los procesos y de sus centros de operación local y remota, en el entorno de un mundo globalizado y convergente en tecnología IP se tiene que los riesgos asociados a la seguridad de la operación deben ser cubiertos mediante reglas y normas que determinen las buenas prácticas y que, actualmente, son de aplicación permanente en gran parte del mundo.

1.1 Introducción y Antecedentes Casos como los apagones registrados en ucrania en 2015 y 2016 producidos por ciberataques, así como los ataques a infraestructuras eléctricas del Reino Unido, Irlanda, Estados Unidos entre otros han demostrado que los ataques cibernéticos a éstas son parte activa del panorama de riesgos actual.

Conscientes de su rol en la sociedad colombiana y de que el sector eléctrico se ha venido modernizando con tecnologí as de operación que son susceptibles a ciberataques; el sector ha desarrollado acciones de concientización y prot ección desde el año 2011 a través del Consejo Nacional de Operación (CNO), primero publicando una guía de ciberseguridad para sus agentes con b ase en las Normas NERC-CIP v4, luego formalizándola a través de la adopción de la misma por acuerdo sectorial en 2015 todo acompañado de jornadas y talleres de ciberseguridad que han fortalecido las capacidades de los agentes para responder ante estas nuevas amenazas.

Esta guía recopila las medidas que deben establecer las empresas del Sector para prepararse, detect ar, contener, responder, coordinar la reacción, recuperarse y aprender de incidentes cibernéticos que puedan afectar al Sistema Interconectado Nacional para consolidar un nivel de madurez adecuado en las capacidades de

prepararse, detect ar, contener, responder, coordinar la reacción, recuperarse y aprender de incidentes cibernéticos que puedan afectar al Sistema Interconectado Nacional para consolidar un nivel de madurez adecuado en las capacidades de ciberseguridad y ciberdefensa del sector contribuyendo a la operación confiable, segura y resiliente del mismo.Ciberseguridad – C N O 6

En ese contexto, el sector eléctrico requiere de la implementación de normativa asociada a la ciberseguridad y de la apropiación de conocimiento de dicho entorno para garantizar la prestación eficiente del servicio de energía eléctrica.

Para la elaboración de e sta guía se utilizó principalmente como referente la normativa publicada por la NERC (North American Electric Reliability Corporation) y compuesta por los estándares CIP (Critical Infrastructure Protection), CIP-002 a CIP-014, de los cuales se extractaron y adaptaron aspectos aplicables al caso colombiano que fueron revisados por expertos de diferentes empresas del sector asignados a la comisión de ciberseguridad y el comité de supervisión y ciberseguridad (antes comité tecnológico) del CNO. Las normas NERC CIP-002 a la CIP-014, tratan: CIP-002-5.1a Categorización de ciberactivos críticos CIP-003-7 Gestión de controles de seguridad CIP-004-6 Personal y entrenamiento CIP-005-6 Perímetro(s) de seguridad electrónica CIP-006-6 Seguridad física de ciberactivos críticos CIP-007-6 Gestión de seguridad del sistema CIP-008-5 Reporte de incidentes planes de respuesta CIP-009-6 Planes de recuperación de ciberactivos críticos

CIP-006-6 Seguridad física de ciberactivos críticos CIP-007-6 Gestión de seguridad del sistema CIP-008-5 Reporte de incidentes planes de respuesta CIP-009-6 Planes de recuperación de ciberactivos críticos CIP-010-3 Gestión de la configuración, cambios y evaluación de vulnerabilidades CIP-011-2 Protección de la información CIP-013-1 Ciberseguridad cadena de suministro CIP-014-2 Seguridad física

De acuerdo con lo anterior se recomienda la adopción de los requerimientos mínimos de seguridad para la protección de los activos del Sistema Interconectado Nacional (SIN) que son considerados críticos par a la operación confiable del sistema eléctrico, en este sentido es necesario identificar los activos críticos, los ciberactivos críticos, los perímetros de seguridad electrónica y seguridad fís ica y aplicar los criterios establecidos en esta guía que deberá ser revisada por lo menos cada dos años para mantener su vigencia y actualización.

1.2 GlosarioCiberseguridad – C N O 7

Activo crítico: Instalaciones, sistemas o equipos eléctricos que de ser destruidos, degradados o puestos indisponibles, afecten la confiablidad (suficiencia y seguridad), operatividad o que comprometan la seguridad de la operación del SIN.

Auditoría: Es la actividad mediante la cual un ente de control revisa y valida los registros y reportes de un procedimiento, con el fin de garantizar la calidad del mismo. En consecuencia, se generan acciones y los planes de mejoramiento.

Ciberactivo crítico: Dispositivo para la operación confiable de activos críticos que cumple los atributos descritos en el numeral 4.2.2.

mismo. En consecuencia, se generan acciones y los planes de mejoramiento.

Ciberactivo crítico: Dispositivo para la operación confiable de activos críticos que cumple los atributos descritos en el numeral 4.2.2.

Ciberactivo: Dispositivo electrónico programable y ele mentos de las redes de comunicaciones incluyendo hardware, software, datos e informa ción. Así como aquellos elementos con protocolos de comuni cación enrutables, que permitan el acceso al mismo de forma local o remota.

Ciberactivo transitorio: Puede ser uno de los muchos tipos de dispositivos que son especialmente diseñados para dar soport e o mantenimiento a los ciberactivos críticos existentes, que puede ejecutarse desde un computador portátil o una tableta y que además puede interactuar o ejecutar aplicaci ones compatibles con los ciberactivos críticos existentes o con la red en donde ésto s se encuentran conectados.

Entidad Responsable : Hacen referencia a Los agentes generadores, transmisores, distribuidores y el operador del Sistema Interconectado Nacional responsables de activos y ciberactivos críticos que debe dar cumplimiento al acuerdo CNO.

Evento: Ocurrencia o cambio de un conjunto particular de circunstancias, puede ocurrir una o varias veces en sistemas o servicios y puede tener múltiples causas, puede ser algo que no ha sucedido y algunas veces se puede referir a "incidente" o "accidente". (ISO/IEC 27000:2016, 2.25).

Incidente de Ciberseguridad: Cualquier acto malicioso que compromete o intenta comprometer, la seguridad física o electrónica de un ciberactivo crítico o su perímetro.

Medios extraíbles: Pueden ser en forma de disquetes, discos compactos, unidades

comprometer, la seguridad física o electrónica de un ciberactivo crítico o su perímetro.

Medios extraíbles: Pueden ser en forma de disquetes, discos compactos, unidades flash USB, discos duros externos y otras tarjetas o unidades de memoria flash que contienen memoria no volátil.

NERC – CIP: North American Electric Reliability Corporation. Es la Corporación de Confiabilidad Eléctrica de Norteamérica. CIP. Critical Infrastructure Protection . Protección de la infraestructura crítica, incluye un conjunto de normas numeradas del 002 al 0014.Ciberseguridad – C N O 8

Perímetro de Seguridad Electrónica: Es la frontera lógica, con acceso controlado, que rodea una red aislada o con conectividad enrutable a otras redes dentro de la cual están conectados los ciberactivos críticos.

Perímetro de Seguridad Física : Es la frontera física, c on acceso c ontrolado, completamente contenida (“seis paredes”) que rodea cuartos de control, cuartos de comunicaciones, centros de operación y otros sitios que alojan ciberactivos críticos.

Pista de auditoría: Es la evidencia o resultado de la actividad de registrar y generar reportes durante la ejecución de un procedimiento.

Programa: Es un conjunto de iniciativas, planes o proyectos desarrollados para el logro de objetivos comunes y concretos.

Puntos de acceso al (los) Perímetro(s) de Seguridad Electrónica: primera capa de defensa que controla el tráfico de red entrante y saliente de un perímetro de seguridad electrónica y entre otras zonas externas.

Responsable de Ciberseguridad : Persona con la autoridad para dirigir la implementación de la guía de ciberseguridad.

Riesgo: Amenaza evaluada en términos de impacto y probabilidad, conforme a la

seguridad electrónica y entre otras zonas externas.

Responsable de Ciberseguridad : Persona con la autoridad para dirigir la implementación de la guía de ciberseguridad.

Riesgo: Amenaza evaluada en términos de impacto y probabilidad, conforme a la política de riesgos de cada entidad, con el fin de minimizar posibles impactos en la operación confiable (suficiencia y seguridad) del SIN.

Seguridad de la información: Es la preservación de las siguientes características: ▪ Confidencialidad: Se garantiza que la información sea accesible sólo a aquellas personas autorizadas a tener acceso a ella. ▪ Disponibilidad: Se garantiza que los usuarios autorizados tengan acceso y puedan usar la información y los recursos relacionados con ella cada vez que se requiera. ▪ Integridad: Se salvaguarda la exactitud y completitud de la información y los métodos de procesamiento. ▪ No-repudio: Se previene la negación de la autoría de una acción que tuvo lugar o reclamar la autoría de una acción que no se llevó a cabo.Ciberseguridad – C N O

9

2. APLICACIÓN Los criterios y requisitos establecidos en esta guía son aplicables a las siguientes

entidades operativas:

a) Operador del sistema. b) Generadores. c) Transportadores. d) Distribuidores.

3. CUMPLIMIENTO La entidad responsable deberá revisar, actualizar y conservar toda la documentación de soporte del cumplimiento de las acciones de la guía, basado en el anexo de cumplimiento por un mínimo de tres (3) años calendario.

Todo ciberactivo crítico nuevo deberá considerar la implementación de todos los aspectos de ciberseguridad solicitados en esta guía para los ciberactivos críticos

el anexo de cumplimiento por un mínimo de tres (3) años calendario.

Todo ciberactivo crítico nuevo deberá considerar la implementación de todos los aspectos de ciberseguridad solicitados en esta guía para los ciberactivos críticos existentes en donde técnicamente no sea factible implementar algún control, esto deberá estar debidamente documen tado, deberán documentarse e implementarse controles compensatorios y de monitoreo que disminuyan el riego de la explotación de las vulnerabilidades e incluirlo en el plan de modernización.

En general el cumplimiento de los aspectos solicitados en la gu ía deberá demostrarse a través de reportes de auditorías internas por lo menos cada dos años.

4. IDENTIFICACIÓN DE ACTIVOS CRÍTICOS.

Este capítulo define un marco de referencia y/o actuación de ciberseguridad para la identificación de ciberactivos críticos que soportan la operación confiable del Sistema Interconectado Nacional.

4.1 Propósito Identificar y documentar los ciberactivos críticos asociados con los activos críticos que soportan la operación confiable del Sistema Interconectado Nacional . Estos activos críticos deben ser identificados por medio de la aplicación de los elementos dados en el anexo 1 “Criterios de Activos Críticos”.Ciberseguridad – C N O 10

4.2 Criterios y Requisitos

4.2.1 Activos críticos Cada entidad responsable identificará y documentará sus activos críticos basada en los criterios del Anexo 1: Criterios de activos críticos.

4.2.2 Ciberactivos críticos Usando la lista de activos críticos desarrollada según el requisito anterior, cada

los criterios del Anexo 1: Criterios de activos críticos.

4.2.2 Ciberactivos críticos Usando la lista de activos críticos desarrollada según el requisito anterior, cada entidad responsable identificará y documentará sus ciberactivos críticos, esenciales para la operación de los activos críticos. Los ciberactivos críticos son calificados como aquellos que tienen al menos una de las siguientes características: • El ciberactivo usa un protocolo enrutable para comunicarse afuera del perímetro de seguridad electrónica, o, • El ciberactivo usa un protocolo enrutable con un centro de control, o, • El ciberactivo es accesible por marcación.

4.3 Acciones

4.3.1 Activos críticos Realizar el inventario de activos críticos.

4.3.2 Ciberactivos críticos Realizar el inventario ciberactivos críticos.

5. GOBIERNO Y GESTIÓN DEL PERSONAL Este capítulo define un marco de referencia y/o actuación de ciberseguridad para la definición de gobierno, roles y responsabilidades.

5.1 Propósito Requerir al personal que tiene acceso lógico autorizado o acceso físico no escoltado a ciberactivos críticos, incluyendo contratistas y prestadores de servicios, una evaluación del nivel de riesgo de personal, entrenamiento y sensibilización en seguridad, así como las pautas para la protección de la información.Ciberseguridad – C N O 11

5.2 Criterios y Requisito 5.2.1 Política y lineamiento de ciberseguridad La entidad responsable documentará e implementará una política o lineamiento de ciberseguridad que represente el compromiso y la habilidad de la entidad para proteger sus ciberactivos críticos.

5.2.1 Política y lineamiento de ciberseguridad La entidad responsable documentará e implementará una política o lineamiento de ciberseguridad que represente el compromiso y la habilidad de la entidad para proteger sus ciberactivos críticos.

5.2.2 Responsable de ciberseguridad La entidad responsable debe identificar y nombrar un responsable de ciberseguridad.

5.2.3 Evaluación y planes para personal Esta guía requiere que el personal que tienen acceso lógico autorizado o acceso físico no escoltado a ciberactivos críticos, incluyendo contratistas y prestadores de servicios tengan evaluación de riesgos de personal, cumplan con planes de concientización, capacitación y entrenamiento.

5.2.4 Procedimiento información La entidad responsable implementará y documentará el pro cedimiento para identificar, clasificar y proteger la información asociada con los ciberactivos críticos.

5.2.5 Medidas para garantizar información La entidad responsable debe adoptar medidas que garanticen que la información no pueda ser recuperada sin autoriz ación, cuando se presenten cambios, reutilización, reemplazos, retiros de hardware o software de los ciberactivos críticos.

5.2.6 Procedimiento gestión acceso a la información La entidad responsable documentará e implementará un procedimiento para gestión de acceso a la información de ciberactivos críticos.

5.2.7 Procedimiento organizacional y técnico de puntos de acceso Cada entidad responsable implementará y documentará los proce dimientos organizacionales y técnicos para todos los puntos de acceso electrónico a los perímetros de seguridad electrónica.

5.3 AccionesCiberseguridad – C N O 12

5.3.1 Política y lineamiento de ciberseguridad

organizacionales y técnicos para todos los puntos de acceso electrónico a los perímetros de seguridad electrónica.

5.3 AccionesCiberseguridad – C N O 12

5.3.1 Política y lineamiento de ciberseguridad Definir una política o line amiento de ciberseguridad donde se establezcan los compromisos de la empresa y recursos para cumplir con la guía de ciberseguridad y aprobarla al nivel organizacional que garantice su cumplimiento.

5.3.2 Responsable de ciberseguridad Asignar un Responsable de Ciberseguridad formalment e y notificarlo al CNO , mediante comunicación escrita dirigida al secretario técnico , en caso de modificación se debe contemplar:

• Reportar el cambio del responsable con máximo treinta (30) días hábiles de anterioridad al CNO , en caso de desvinculación del responsable, esta se debe notificar en un plazo máximo cinco (5) días hábiles después de la misma, indicando su reemplazo.

En caso de delegación se debe contemplar:

• Implementar y documentar el procedimiento de delegación de la autoridad. • El responsable de ciberseguridad puede delegar la autoridad para acciones específicas. Esta delegación debe estar documentada, incluyendo el nombre del titular del delegado, las acciones específicas a delegar y la fecha de la delegación; aprobado por el responsable de ciberseguridad y actualizado máximo a treinta (30) días de cualquier cambio de delegación.

5.3.3 Evaluación personal Cada entidad responsable realizara la evaluación de riesgos del personal que tendrá acceso físico autorizado no escoltado y acceso lógico no supervisado a los ciberactivo críticos, sea este propio, externo y/o de la cadena de suministro , para

Cada entidad responsable realizara la evaluación de riesgos del personal que tendrá acceso físico autorizado no escoltado y acceso lógico no supervisado a los ciberactivo críticos, sea este propio, externo y/o de la cadena de suministro , para otorgar y conservar el acceso lógico y físico autorizado

La evaluación de riesgos del personal debe incluir:

• Confirmar la identidad de las personas. • Estudio de seguridad incluyendo validación de antecedentes al inicio y con una revisión periódica no superior a cinco (5) años.

5.3.4 Programa de conciencia de seguridadCiberseguridad – C N O 13

Toda entidad responsable debe contar con uno o varios programas de conciencia de seguridad, Se debe realizar concientización anual para todos los empleados y terceros que tienen acceso con los ciberactivos críticos.

5.3.5 Programa de entrenamiento y capacitación Toda entidad debe contar con un programa de entrenamiento y capacitación según el rol desempeñado y su criticidad, este debe contener los siguientes elementos:

• Políticas o lineamiento de ciberseguridad. • Controles de acceso físico y control de visitantes. • Controles de acceso electrónicos. • Manejo de ciberactivos críticos, Información y su almacenamiento. • Gestión de incidente de ciberseguridad, notificaciones iniciales de acuerdo con el procedimiento de respuesta a incidentes de la entidad y respuesta a incidentes de seguridad. • Procedimiento de recuperación para ciberactivos críticos. • Riesgos de ciberseguridad asociados con la interconectividad e interoperabilidad con ciberactivos críticos.

5.3.6 Administración de accesos Cada entidad responsable deberá implementar actividades de administración de

• Riesgos de ciberseguridad asociados con la interconectividad e interoperabilidad con ciberactivos críticos.

5.3.6 Administración de accesos Cada entidad responsable deberá implementar actividades de administración de acceso lógico y físico.

5.3.7 Verificación de los registros de autorización Cada entidad responsable deberá v erificar al menos una (1) vez cada semestre calendario que la s personas con acceso electrónico activo o acceso físico sin escolta tengan registros de autorización.

5.3.8 Verificación de cuentas y privilegios de acceso Cada entidad responsable deberá verificar al menos una (1) vez cada año que el acceso electrónico y/o físico para todas las cuentas de usuario, grupos de cuentas de usuario o categorías de roles de usuario, y sus privilegios asociados específicos sean correctos y que sean los que la entidad responsable determine que sean necesarios.

5.3.9 Procedimiento de revocación de accesos Cada entidad responsable implementará uno o más procedimiento de revocación de acceso documentados los cuales incluyan los siguientes escenarios:Ciberseguridad – C N O 14

• Un procedimiento en caso de terminación laboral con un bloq ueo de cuenta para los accesos físicos y remotos dentro de las veinte cuatro (24) horas de acción de la terminación. • Un procedimiento de revocación (eliminar o inhabilitar) de cuentas bloqueadas en un tiempo máximo de treinta (30) días calendario posteriores a la acción de terminación. • Para las acciones de terminación laboral, cambie las contraseñas de las cuentas compartidas conocidas por el usuario dentro de los treinta (30) días calendario posteriores a la acción de terminación. • Para reasignaciones o tr ansferencias, cambie las contraseñas de cuentas

cuentas compartidas conocidas por el usuario dentro de los treinta (30) días calendario posteriores a la acción de terminación. • Para reasignaciones o tr ansferencias, cambie las contraseñas de cuentas compartidas conocidas por el usuario dentro de los treinta ( 30) días calendario siguientes a la fecha en que la entidad responsable determine que la persona ya no requiere de ese acceso. • En caso de un impedimento técnico para el bloqueo o revocación éste deberá documentarse con su respectivo análisis de riesgos y controles compensatorios que los mitiguen.

6. PERÍMETRO Este capítulo define un marco de referencia para la definición de perímetros.

6.1 Propósito Identificar y proteger los perímetros de seguridad electrónica dentro de los cuales residen los ciberactivos críticos, al igual que todos los puntos de acceso al perímetro.

6.2 Criterios y Requisitos

6.2.1 Procedimiento gestión de acceso La entidad responsable documentará e implementará un procedimiento para gestión de acceso a la información protegida de ciberactivos críticos.

6.2.2 Procedimiento control de acceso Cada entidad responsable implementará y documentará los procedimientos organizacionales y los mecanismos técnicos para el control de acceso en todos los puntos de acceso electrónico al perímetro de seguridad electrónica.

6.2.3 Procedimiento de autenticación, autorización y registroCiberseguridad – C N O 15

La entidad responsable establecerá, implementará y documentará los controles técnicos y procedimentales que apliquen para la a utenticación de acceso, autorización y registros que per mitan la asignación de responsabilidad por toda actividad de los usuarios, y que minimice el riesgo de acceso o uso no autorizado de ciberactivos críticos.

autorización y registros que per mitan la asignación de responsabilidad por toda actividad de los usuarios, y que minimice el riesgo de acceso o uso no autorizado de ciberactivos críticos.

6.3 Acciones

6.3.1 Perímetros de seguridad electrónica La entidad responsable deberá identificar y documentar perímetros de seguridad electrónica, los puntos y requisitos de acceso a los mismos , asegurando que cada ciberactivo crítico resida dentro de un perímetro de seguridad electrónica.

6.3.2 Listas de acceso La entidad responsable mantendrá lista(s) del personal con acceso físico no escoltado o acceso lóg ico a los ciberactivos críticos. Cada entidad responsable revisará la lista de su personal con acceso físico y/o lógico a ciberactivos críticos semestralmente y actualizará la lista en siete (7) días calendario ante cualquier cambio. 6.3.3 Procedimiento de monitoreo y registro de acceso La entidad responsable implementará y documentará procedimientos para el monitoreo y registro de accesos lógicos permitidos y dene gados en puntos de acceso al (los) perímetro(s) de seguridad electrónica veinticuatro (24) horas al día, siete (7) días por semana.

6.3.4 Validación de cam