Modelos y registros · ISO 27001 · Apartado A.5.18
Registro de revisión de derechos de acceso ISO 27001
La comprobación periódica de que cada persona tiene en cada sistema los permisos que necesita y ninguno más, con la decisión del propietario.
En una frase
El registro de revisión de derechos de acceso deja constancia de que los propietarios de cada sistema han revisado, a intervalos regulares, los usuarios y permisos existentes y de qué cambios se hicieron; es la evidencia que pide el control 5.18 de ISO/IEC 27001:2022, que exige conceder, revisar, modificar y retirar los accesos según la política.
- Dónde lo pide la norma
- ISO 27001 · Apartado A.5.18 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Buena práctica Evidencia del control 5.18 del Anexo A
- Quién lo rellena
- Propietario de cada sistema Sistemas extrae los listados y aplica los cambios
- Cuándo
- Según la política Por ejemplo, trimestral para accesos privilegiados y semestral para el resto
- Cuánto se conserva
- Lo fija la organización ISO/IEC 27001 no da plazos: pide decidir la conservación y la eliminación de la información documentada (7.5.3). Cubrir el ciclo de certificación de tres años permite enseñar el histórico en la renovación.
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
El control 5.18 pide que los derechos de acceso se concedan, revisen, modifiquen y retiren de acuerdo con la política de control de accesos (5.15). La revisión periódica es la parte que más se olvida y la que más hallazgos genera.
La norma no fija la frecuencia: la decide la organización según el riesgo. Lo habitual es revisar más a menudo los accesos privilegiados que los ordinarios, y siempre tras cambios de puesto o salidas.
Lo que convierte la revisión en evidencia es que la haga el propietario del sistema o del dato, no solo sistemas, y que deje rastro de lo que se mantiene y de lo que se retira.
Estructura
Campos que debe tener el modelo
- Sistema o aplicación revisada
- Fecha y periodo que cubre
- Listado de usuarios y permisos revisados
- Revisor: propietario del sistema
- Decisión por usuario: mantener, reducir, retirar
- Cuentas genéricas, de servicio y privilegiadas, con su justificación
- Cambios aplicados y fecha
Ejemplo
Ejemplo: revisión trimestral de accesos privilegiados
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Sistema | Consola de administración de la nube |
| Periodo | Tercer trimestre de 2026 · revisado el 6 de octubre |
| Revisor | Director técnico, propietario del sistema |
| Usuarios revisados | 9 administradores y 2 cuentas de servicio |
| Decisiones | 7 se mantienen · 1 se reduce a lectura · 1 se retira (cambio de equipo en julio) |
| Cuentas de servicio | Justificadas: copias de seguridad y despliegue automático |
| Cambios aplicados | 7 de octubre de 2026, confirmados por sistemas |
En la auditoría
Errores que suelen señalar los auditores
- La revisión la hace sistemas sin que el propietario del dato decida.
- Se revisa la lista y se firma, pero no se aplica ningún cambio.
- Cuentas de personas que dejaron la empresa hace meses siguen activas.
- Cuentas genéricas compartidas sin propietario ni justificación.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Los permisos se gestionan por perfil desde el portal del empleado.
- 2La revisión periódica de accesos y privilegios por perfil queda registrada con su fecha y su revisor.
- 3La baja en la ficha de personal cierra automáticamente los accesos al portal, a la aplicación y a los módulos asociados.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Cada cuánto hay que revisar los accesos?
La norma no lo dice: lo fija la política de control de accesos según el riesgo. Lo importante es cumplir la frecuencia que la propia política declara.
¿Basta con revisar al dar de baja a alguien?
No. La baja es un disparador, pero la revisión periódica detecta lo que se escapa: cambios de puesto, permisos temporales que nadie retiró o cuentas de servicio olvidadas.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Operación
La operación traduce el análisis de riesgos en controles reales: accesos, cifrado, copias de seguridad y un…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Modelo de plan de tratamiento de riesgos ISO 27001
Qué debe incluir el plan de tratamiento de riesgos de ISO 27001 (6.1.3 e): opción elegida, controles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022