Models i registres · ISO 27001 · Apartat A.5.18
Registre de revisió de drets d'accés ISO 27001
La comprovació periòdica que cada persona té en cada sistema els permisos que necessita i cap més, amb la decisió del propietari.
En una frase
El registre de revisió de drets d'accés deixa constància que els propietaris de cada sistema han revisat, a intervals regulars, els usuaris i permisos existents i de quins canvis s'han fet; és l'evidència que demana el control 5.18 d'ISO/IEC 27001:2022, que exigeix concedir, revisar, modificar i retirar els accessos segons la política.
- On ho demana la norma
- ISO 27001 · Apartat A.5.18 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Bona pràctica Evidència del control 5.18 de l'annex A
- Qui l'emplena
- Propietari de cada sistema Sistemes extreu els llistats i aplica els canvis
- Quan
- Segons la política Per exemple, trimestral per als accessos privilegiats i semestral per a la resta
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
El control 5.18 demana que els drets d'accés es concedeixin, es revisin, es modifiquin i es retirin d'acord amb la política de control d'accessos (5.15). La revisió periòdica és la part que més s'oblida i la que genera més troballes.
La norma no fixa la freqüència: la decideix l'organització segons el risc. El més habitual és revisar més sovint els accessos privilegiats que els ordinaris, i sempre després de canvis de lloc o de sortides.
El que converteix la revisió en evidència és que la faci el propietari del sistema o de la dada, no només sistemes, i que deixi rastre del que es manté i del que es retira.
Estructura
Camps que ha de tenir el model
- Sistema o aplicació revisada
- Data i període que cobreix
- Llistat d'usuaris i permisos revisats
- Revisor: propietari del sistema
- Decisió per usuari: mantenir, reduir, retirar
- Comptes genèrics, de servei i privilegiats, amb la seva justificació
- Canvis aplicats i data
Exemple
Exemple: revisió trimestral d'accessos privilegiats
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Sistema | Consola d'administració del núvol |
| Període | Tercer trimestre de 2026 · revisat el 6 d'octubre |
| Revisor | Director tècnic, propietari del sistema |
| Usuaris revisats | 9 administradors i 2 comptes de servei |
| Decisions | 7 es mantenen · 1 es redueix a lectura · 1 es retira (canvi d'equip al juliol) |
| Comptes de servei | Justificats: còpies de seguretat i desplegament automàtic |
| Canvis aplicats | 7 d'octubre de 2026, confirmats per sistemes |
A l'auditoria
Errors que solen assenyalar els auditors
- La revisió la fa sistemes sense que decideixi el propietari de la dada.
- Es revisa la llista i se signa, però no s'aplica cap canvi.
- Comptes de persones que van deixar l'empresa fa mesos continuen actius.
- Comptes genèrics compartits sense propietari ni justificació.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Els permisos es gestionen per perfil des del portal de l'empleat.
- 2La revisió periòdica d'accessos i privilegis per perfil queda registrada amb la seva data i el seu revisor.
- 3La baixa a la fitxa de personal tanca automàticament els accessos al portal, a l'aplicació i als mòduls associats.
Preguntes freqüents
El que ens pregunten abans de començar
Cada quant cal revisar els accessos?
La norma no ho diu: ho fixa la política de control d'accessos segons el risc. El que importa és complir la freqüència que la mateixa política declara.
N'hi ha prou amb revisar-los quan algú es dona de baixa?
No. La baixa és un disparador, però la revisió periòdica detecta el que s'escapa: canvis de lloc, permisos temporals que ningú no va retirar o comptes de servei oblidats.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Operació
L'operació tradueix l'anàlisi de riscos en controls reals: accessos, xifratge, còpies de seguretat i un…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Model de pla de tractament de riscos ISO 27001
Què ha d'incloure el pla de tractament de riscos d'ISO 27001 (6.1.3 e): opció triada, controls, responsable…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022