{
  "Framework": "ENS",
  "Version": "RD2022",
  "Provider": "AWS",
  "Description": "The accreditation scheme of the ENS (National Security Scheme) has been developed by the Ministry of Finance and Public Administrations and the CCN (National Cryptological Center). This includes the basic principles and minimum requirements necessary for the adequate protection of information.",
  "Requirements": [
    {
      "Id": "op.acc.1.aws.iam.2",
      "Description": "Proveedor de identidad centralizado",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Es muy recomendable la utilización de un proveedor de identidades que permita administrar las identidades en un lugar centralizado, en vez de utilizar IAM para ello.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_check_saml_providers_sts"
      ]
    },
    {
      "Id": "op.acc.2.aws.iam.4",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se deberá delegar en cuentas administradoras la administración de la organización, dejando la cuenta maestra sin uso y con las medidas de seguridad pertinentes.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_avoid_root_usage"
      ]
    },
    {
      "Id": "op.acc.3.r1.aws.iam.1",
      "Description": "Segregación rigurosa",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3.r1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "En caso de ser de aplicación, la segregación deberá tener en cuenta la separación de las funciones de configuración y mantenimiento y de auditoría de cualquier otra.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_support_role_created"
      ]
    },
    {
      "Id": "op.acc.3.r2.aws.iam.1",
      "Description": "Privilegios de auditoría",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3.r2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Disponer de cuentas con privilegios de auditoría estrictamente controladas y personalizadas.",
          "Nivel": "opcional",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_securityaudit_role_created"
      ]
    },
    {
      "Id": "op.acc.4.aws.iam.1",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las políticas IAM deben permitir sólo los privilegios necesarios para cada rol. Se recomienda comenzar con el mínimo nivel de permisos e ir añadiendo permisos adicionales según vaya surgiendo la necesidad en lugar de comenzar con permisos administrativos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "sqs_queues_not_publicly_accessible",
        "s3_bucket_policy_public_write_access",
        "awslambda_function_not_publicly_accessible",
        "iam_no_custom_policy_permissive_role_assumption",
        "cloudwatch_cross_account_sharing_disabled",
        "awslambda_function_url_public",
        "awslambda_function_url_cors_policy",
        "iam_policy_allows_privilege_escalation",
        "iam_aws_attached_policy_no_administrative_privileges",
        "iam_customer_attached_policy_no_administrative_privileges",
        "iam_inline_policy_no_administrative_privileges",
        "organizations_scp_check_deny_regions",
        "organizations_account_part_of_organizations"
      ]
    },
    {
      "Id": "op.acc.4.aws.iam.2",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Evitar políticas con comodines (wildcards) en su definición, que puedan otorgar privilegios administrativos completos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_policy_allows_privilege_escalation",
        "iam_no_custom_policy_permissive_role_assumption",
        "iam_aws_attached_policy_no_administrative_privileges",
        "iam_customer_attached_policy_no_administrative_privileges",
        "iam_inline_policy_no_administrative_privileges"
      ]
    },
    {
      "Id": "op.acc.4.aws.iam.6",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Con AWS Systems Manager Automation pueden utilizarse documentos de automatización y diseñar flujos de trabajo para la administración de cambios o la ejecución de operaciones estándar para administrar las instancias EC2 (p. ej., actualizar los sistemas operativos), en lugar de permitir el acceso directo. ",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm"
      ]
    },
    {
      "Id": "op.acc.4.aws.iam.7",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se restringirá todo acceso a las acciones especificadas para el usuario root de una cuenta.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_no_root_access_key",
        "iam_avoid_root_usage"
      ]
    },
    {
      "Id": "op.acc.4.aws.iam.9",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se configurarán diferentes permisos a las cuentas de usuario, limitando la utilización de la cuenta “root” para tareas específicas que necesiten un nivel de privilegios elevado, esta configuración debe entenderse como un mecanismo para impedir que el trabajo directo con usuarios con privilegios de administrador repercuta negativamente en la seguridad, a acometer todas las acciones con el máximo privilegio cuando este no es siempre requerido.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_aws_attached_policy_no_administrative_privileges",
        "iam_customer_attached_policy_no_administrative_privileges",
        "iam_inline_policy_no_administrative_privileges"
      ]
    },
    {
      "Id": "op.acc.4.aws.sys.1",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Habilitar systems manager automation para evitar acceso remoto humano a tareas automatizables.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm"
      ]
    },
    {
      "Id": "op.acc.6.aws.iam.1",
      "Description": "Mecanismo de autenticación (usuarios de la organización)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Evitar el uso permanente de múltiples claves de acceso para un mismo usuario IAM.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_two_active_access_key"
      ]
    },
    {
      "Id": "op.acc.6.aws.iam.2",
      "Description": "Mecanismo de autenticación (usuarios de la organización)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las claves de acceso deberán rotarse cada 90 días o menos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_accesskey_unused",
        "iam_user_console_access_unused",
        "iam_rotate_access_key_90_days"
      ]
    },
    {
      "Id": "op.acc.6.aws.iam.3",
      "Description": "Mecanismo de autenticación (usuarios de la organización)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberá habilitarse el vencimiento de las credenciales de los usuarios. (Bien a través de la política de contraseñas de IAM o del proveedor de identidades federado).",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_password_policy_expires_passwords_within_90_days_or_less",
        "iam_user_accesskey_unused",
        "iam_user_console_access_unused",
        "iam_rotate_access_key_90_days"
      ]
    },
    {
      "Id": "op.acc.6.aws.iam.4",
      "Description": "Mecanismo de autenticación (usuarios de la organización)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se deberá evitar la asignación por defecto de claves de acceso para todos los usuarios que tengan acceso a la consola. Para cumplir con este requisito, se recomienda revisar qué usuarios se encuentran dados de alta en la cuenta de AWS y disponen de acceso a la consola de administración y evitar la asignación de claves de acceso cuando no son necesarias.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_no_setup_initial_access_key"
      ]
    },
    {
      "Id": "op.acc.6.r1.aws.iam.1",
      "Description": "Contraseñas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las contraseñas de los usuarios deberán tener normas de complejidad mínima y robustez.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_password_policy_lowercase",
        "iam_password_policy_minimum_length_14",
        "iam_password_policy_number",
        "iam_password_policy_reuse_24",
        "iam_password_policy_symbol",
        "iam_password_policy_uppercase"
      ]
    },
    {
      "Id": "op.acc.6.r2.aws.iam.1",
      "Description": "Contraseña + otro factor de autenticación",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "MFA deberá estar habilitado para todas las cuentas que tengan contraseña para acceder a la consola, incluyendo el usuario root.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_administrator_access_with_mfa",
        "iam_root_mfa_enabled",
        "iam_user_mfa_enabled_console_access"
      ]
    },
    {
      "Id": "op.acc.6.r4.aws.iam.1",
      "Description": "Certificados en dispositvo físico",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Habilitar los dispositivos MFA físicos para todos los usuarios IAM mediante la consola, línea de comandos o la propia API de IAM. Del mismo modo, el uso de estos certificados deberá estar protegido por un segundo factor de tipo PIN o biométrico.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_mfa_enabled_console_access",
        "iam_root_hardware_mfa_enabled"
      ]
    },
    {
      "Id": "op.acc.6.r5.aws.iam.1",
      "Description": "Registro",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r5",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Para registrar los intentos de acceso, se deberá habilitar CloudTrail en todas las regiones y activar el registro de acceso de usuarios.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.acc.6.r7.aws.iam.1",
      "Description": "Suspensión por no utilización",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r7",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Activar la deshabilitación de las credenciales de los usuarios IAM que no hayan sido empleadas durante un periodo de tiempo (o bien, se deberá establecer la deshabilitación en el proveedor de identidades).",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_accesskey_unused",
        "iam_user_console_access_unused"
      ]
    },
    {
      "Id": "op.acc.6.r8.aws.iam.1",
      "Description": "Doble factor para acceso desde o a través de zonas no controladas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r8",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se deberá emplear como mecanismo de autenticación o bien una contraseña más otro factor de autenticación, o bien un certificado cualificado (con o sin soporte físico) protegido por un doble factor de autenticación.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_user_mfa_enabled_console_access"
      ]
    },
    {
      "Id": "op.exp.1.aws.cfg.1",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "En lo referente al inventariado de activos, asegurar que AWS Config está habilitado en todas las regiones y utilizar la herramienta para obtener una vista de los recursos existentes en las cuentas de AWS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.exp.1.aws.cfg.2",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Configurar una regla de Config Rules que alerte sobre el despliegue de recursos sin las etiquetas correspondientes asociadas.",
          "Nivel": "bajo",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.exp.1.aws.sys.1",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "En el ámbito del software desplegado en las instancias de EC2, habilitar AWS System Manager Inventory para todo el entorno de EC2 en caso de no utilizar herramientas de terceros.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm",
        "ssm_managed_compliant_patching"
      ]
    },
    {
      "Id": "op.exp.1.aws.sys.2",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Asignar metadatos personalizados a cada nodo administrado con información sobre el responsable del activo.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "organizations_tags_policies_enabled_and_attached"
      ]
    },
    {
      "Id": "op.exp.1.aws.re.1",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Se recomienda el uso de AWS Resource Explorer para la exploración de los recursos como instancias RDB, buckets S3o tablas de Amazon DynamoDB.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "resourceexplorer2_indexes_found"
      ]
    },
    {
      "Id": "op.exp.1.aws.tag.1",
      "Description": "Inventario de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Para la correcta identificación del responsable, asociar etiquetas para todos los activos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "organizations_tags_policies_enabled_and_attached"
      ]
    },
    {
      "Id": "op.exp.3.aws.cfg.1",
      "Description": "Gestión de la configuración de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "El cumplimiento de los requisitos se puede apoyar en la utilización de los servicios Config, Config Rules y Conformance Packs para identificar líneas base de configuración para evaluar si los recursos de AWS se ajustan a las prácticas autorizadas por la organización.",
          "Nivel": "bajo",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.exp.3.r3.aws.cfg.1",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.3.r3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "La entidad usuaria puede consultar el histórico de configuraciones de recursos en AWS Config.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.exp.4.aws.sys.2",
      "Description": "Mantenimiento y actualizaciones de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar AWS Systems Manager Patch Manager para planificar y gestionar la aplicación de parches minimizando los riesgos asociados a tener instancias con software desactualizado y expuesto a vulnerabilidades conocidas.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm",
        "ssm_managed_compliant_patching"
      ]
    },
    {
      "Id": "op.exp.4.r2.aws.sys.1",
      "Description": "Prevención de fallos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.4.r2",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar la solución AWS Systems Manager Automation para automatizar las tareas de corrección en servicios de AWS como EC2 y RDS.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm"
      ]
    },
    {
      "Id": "op.exp.4.r4.aws.insp.1",
      "Description": "Monitorización continua",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.4.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Desplegar a nivel de sistema una estrategia de monitorización continua de amenazas y vulnerabilidades detallando: indicadores críticos de seguridad, política de aplicación de parches y criterios de revisión regular y excepcional de amenazas del sistema.",
          "Nivel": "opcional",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "inspector2_findings_exist"
      ]
    },
    {
      "Id": "op.exp.5.aws.ct.1",
      "Description": "Gestión de cambios",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.5",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Asegurar que CloudTrail esté activo para todas las regiones.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.exp.6.aws.gd.1",
      "Description": "Protección frente a código dañino",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.6",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Activar la protección contra software malintencionado de GuardDuty en todas las regiones.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled"
      ]
    },
    {
      "Id": "op.exp.7.aws.gd.1",
      "Description": "Gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.7",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar GuardDuty para la detección de incidentes de seguridad",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled",
        "guardduty_no_high_severity_findings"
      ]
    },
    {
      "Id": "op.exp.7.aws.sh.1",
      "Description": "Gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.7",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar Security Hub",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "securityhub_enabled"
      ]
    },
    {
      "Id": "op.exp.7.aws.cf.1",
      "Description": "Gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.7",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar los logs de acceso de CloudFront",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudfront_distributions_logging_enabled"
      ]
    },
    {
      "Id": "op.ext.7.aws.am.1",
      "Description": "Gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.7",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Deberá proveerse la información relacionada con contactos alternativos (de facturación, operaciones y seguridad), con correos que no dependan de la misma persona. Deberá comprobarse regularmente que estas cuentas funcionan correctamente y mantener listas de correo para asegurar la recepción de avisos por personal disponible en cada momento. Además, deberán establecerse preguntas de desafío de seguridad y respuestas para el caso de que sea necesario autenticarse como propiterio de la cuenta para ponerse en contacto con el soporte de AWS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "account_maintain_current_contact_details",
        "account_security_contact_information_is_registered",
        "account_security_questions_are_registered_in_the_aws_account"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.1",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar la herramienta CloudTrail en todas las regiones. Este serviio está habilitado por defecto cuando se crea una nueva cuenta, pero es posible deshabilitarlo.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.2",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Establecer un filtro de métricas desde AWS CloudWatch para detectar cambios en las configuraciones de CloudTrail",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_and_alarm_for_cloudtrail_configuration_changes_enabled"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.3",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar la validación de archivos en todos los trails, evitando así que estos se vean modificados o eliminados.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_log_file_validation_enabled"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.4",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar la entrega continua de eventos de CloudTrail a un bucket S3 dedicado con el fin de unificar los archivos de registro.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_logs_s3_bucket_is_not_publicly_accessible",
        "cloudtrail_s3_dataevents_write_enabled"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.5",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Se deberán habilitar alertas para los siguientes eventos: * Llamadas no permitidas a la API, * Accesos no permitidos a la consola, * Todos los intentos de acceso sin el correcto uso de MFA, * Toda la actividad realizada sobre y por la cuenta root, * Cualquier cambio en las políticas IAM",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_unauthorized_api_calls",
        "cloudwatch_log_metric_filter_authentication_failures",
        "cloudwatch_log_metric_filter_sign_in_without_mfa",
        "cloudwatch_log_metric_filter_root_usage",
        "cloudwatch_log_metric_filter_policy_changes"
      ]
    },
    {
      "Id": "op.exp.8.aws.ct.6",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Activar el servicio de AWS CloudTrail para registrar la actividad de los usuarios relativa a la configuración de los servicios VPN Site-to-Site y AWS DirectConnect",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.exp.8.aws.cw.1",
      "Description": "Registro de actividad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Crear alertas utilizando herramientas como Amazon CloudWatch Events para anunciar el inicio de sesión y el uso de las credenciales de usuario root de la cuenta de administración",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_root_usage"
      ]
    },
    {
      "Id": "op.exp.8.r1.aws.ct.2",
      "Description": "Revisión de los registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Configurar la herramienta CloudTrail de manera que realice el registro de eventos de administración, eventos de datos y eventos anómalos (insights).",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_and_alarm_for_cloudtrail_configuration_changes_enabled",
        "cloudtrail_s3_dataevents_write_enabled",
        "cloudtrail_s3_dataevents_read_enabled",
        "cloudtrail_insights_exist"
      ]
    },
    {
      "Id": "op.exp.8.r1.aws.ct.4",
      "Description": "Revisión de los registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Registrar los eventos de lectura y escritura de datos.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_s3_dataevents_write_enabled",
        "cloudtrail_s3_dataevents_read_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r1.aws.ct.6",
      "Description": "Revisión de los registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar la entrega continua de eventos de CloudTrail a un bucket de Amazon S3",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_logs_s3_bucket_access_logging_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r1.aws.ct.7",
      "Description": "Revisión de los registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Integrar CloudTrail con el servicio CloudWatch Logs",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_cloudwatch_logging_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r3.aws.cw.1",
      "Description": "Retención de registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Ejecutar la acción PutRetentionPolicy de Amazon CloudWatch, permitiendo así establecer la retención del grupo de registros especificado y configurar el número de días durante los cuales se conservarán los eventos de registro en el grupo seleccionado de acuerdo con el documento de seguridad correspondiente. Paralelamente, se debe definir un periodo de retención para los datos almacenados en CloudTrail Lakes.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_group_retention_policy_specific_days_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.8",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Asignar correctamente las políticas IAM para el acceso y borrado de los registros y sus copias de seguridad haciendo uso del principio de mínimo privilegio.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_policy_allows_privilege_escalation",
        "iam_aws_attached_policy_no_administrative_privileges",
        "iam_customer_attached_policy_no_administrative_privileges",
        "iam_inline_policy_no_administrative_privileges",
        "iam_no_custom_policy_permissive_role_assumption",
        "iam_policy_attached_only_to_group_or_roles",
        "iam_role_cross_service_confused_deputy_prevention"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.2",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar una política de bucket para restringir el acceso de forma pública e imponer restricciones sobre cuáles de los usuarios pueden eliminar objetos de Amazon S3.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "s3_bucket_public_access",
        "cloudtrail_logs_s3_bucket_is_not_publicly_accessible",
        "s3_bucket_policy_public_write_access"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.3",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Activar el acceso por MFA al registro de actividad almacenado en los buckets de Amazon S3 dedicados para AWS CloudTrail.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_bucket_requires_mfa_delete"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.4",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Configurar los archivos de logs de AWS CloudTrail para aprovechar el cifrado del lado del servidor (SSE – Server Side Encryption) y las claves maestras creadas por el cliente (CMK de KMS).",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_kms_encryption_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.5",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "El almacén de logs de CloudTrail no debería ser accesible de forma pública",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_logs_s3_bucket_access_logging_enabled"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.6",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "El almacén de logs de CloudTrail no debería ser accesible de forma pública  (ACLs)",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_logs_s3_bucket_is_not_publicly_accessible"
      ]
    },
    {
      "Id": "op.exp.8.r4.aws.ct.7",
      "Description": "Control de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Cifrado de los trails con KMS",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_kms_encryption_enabled"
      ]
    },
    {
      "Id": "op.exp.9.aws.ct.1",
      "Description": "Registro de la gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.9",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar AWS Incident Manager y AWS CloudTrail en todas las regiones con el fin de recopilar información para generar contenido prescriptivo para la creación de informes exigidos por la medida de seguridad.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.exp.9.aws.img.1",
      "Description": "Registro de la gestión de incidentes",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.9",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Habilitar AWS Incident Manager y AWS CloudTrail en todas las regiones con el fin de recopilar información para generar contenido prescriptivo para la creación de informes exigidos por la medida de seguridad.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_managed_by_ssm",
        "ssmincidents_enabled_with_plans"
      ]
    },
    {
      "Id": "op.exp.10.aws.tag.1",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Se recomienda utilizar tags y alias para una mejor gestión y administración de las claves.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "organizations_tags_policies_enabled_and_attached"
      ]
    },
    {
      "Id": "op.exp.10.aws.cmk.1",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Los usuarios o roles con privilegios para la creación de claves deben ser diferentes a los que van a utilizar las claves para operaciones de cifrado.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_policy_no_full_access_to_kms"
      ]
    },
    {
      "Id": "op.exp.10.aws.cmk.2",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar claves gestionadas por los clientes (CMK).",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "iam_policy_no_full_access_to_kms"
      ]
    },
    {
      "Id": "op.exp.10.aws.cmk.3",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Activar la rotación de las claves CMK.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "kms_cmk_rotation_enabled"
      ]
    },
    {
      "Id": "op.exp.10.aws.cmk.4",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Para el archivo posterior a la explotación y destrucción de las claves se debe deshabilitar todas las claves CMK que no estén en uso.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_disable_or_scheduled_deletion_of_kms_cmk"
      ]
    },
    {
      "Id": "op.exp.10.aws.cmk.5",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Eliminar las claves deshabilitadas que no estén en uso y no mantengan ningún objeto o recurso cifrado, completando el ciclo de vida de la clave.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudwatch_log_metric_filter_disable_or_scheduled_deletion_of_kms_cmk"
      ]
    },
    {
      "Id": "op.mon.1.aws.gd.1",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "En ausencia de otras herramientas de terceros, habilitar Amazon GuarDuty para la detección de amenazas e intrusiones.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled"
      ]
    },
    {
      "Id": "op.mon.1.aws.ct.1",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Activar el servicio de eventos AWS CloudTrail para todas las regiones.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_multi_region_enabled"
      ]
    },
    {
      "Id": "op.mon.1.aws.flow.1",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Activar el servicio VPC FlowLogs.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "vpc_flow_logs_enabled"
      ]
    },
    {
      "Id": "op.mon.1.aws.gd.2",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Deberá habilitarse Amazon GuardDuty para todas las regiones tanto en la cuenta raíz como en las cuentas miembro de un entorno multi-cuenta.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled"
      ]
    },
    {
      "Id": "op.mon.1.aws.gd.3",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Todas las cuentas miembro deberán estar añadidas para la supervisión bajo la cuenta raíz.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_centrally_managed"
      ]
    },
    {
      "Id": "op.mon.2.aws.sh.1",
      "Description": "Sistema de métricas",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.2",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar Security Hub para obtener una vista consolidada de los hallazgos de seguridad en los servicios de AWS habilitados.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "securityhub_enabled"
      ]
    },
    {
      "Id": "op.mon.3.aws.cwl.2",
      "Description": "Vigilancia",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Se deberá utilizar el servicio CloudWatch Logs para acceder a los registros de los diferentes servicios de AWS de forma centralizada",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudtrail_cloudwatch_logging_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r1.aws.gd.1",
      "Description": "Correlación de eventos",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Activar GuardDuty y Security Hub o bien disponer de un SIEM externo a AWS",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r1.aws.sh.1",
      "Description": "Correlación de eventos",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Activar GuardDuty y Security Hub o bien disponer de un SIEM externo a AWS",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "securityhub_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r2.aws.cfg.1",
      "Description": "Análisis dinámico",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r2",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar las herramientas AWS Config y Security hub",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r2.aws.sh.1",
      "Description": "Análisis dinámico",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r2",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar las herramientas AWS Config y Security hub",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "securityhub_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r2.aws.insp.1",
      "Description": "Análisis dinámico",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r2",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar la herramienta Inspector para la detección de posibles vulneerabilidades de las instancias EC2, las funciones Lambda y las imágenes de contenedor.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "inspector2_findings_exist"
      ]
    },
    {
      "Id": "op.mon.3.r3.aws.gd.1",
      "Description": "Ciberamenazas avanzadas",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r3",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Activar GuardDuty (ya cubierto)",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "guardduty_is_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r6.aws.cfg.1",
      "Description": "Inspecciones de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r6",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar Config Rules y AWS Inspector",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "config_recorder_all_regions_enabled"
      ]
    },
    {
      "Id": "op.mon.3.r6.aws.insp.1",
      "Description": "Inspecciones de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3.r6",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Utilizar Config Rules y AWS Inspector.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "inspector2_findings_exist"
      ]
    },
    {
      "Id": "mp.com.1.aws.sg.1",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Asegurar que el Security Group restrinja todo el tráfico. Para ello, se deberán agregar las reglas del Security Group que se aplica por defecto cuando se crea una VPC.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_securitygroup_default_restrict_traffic",
        "ec2_securitygroup_from_launch_wizard"
      ]
    },
    {
      "Id": "mp.com.1.aws.sg.2",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Evitar la existencia de Security Groups que dejen abierto todo el tráfico entrante.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_securitygroup_allow_ingress_from_internet_to_any_port"
      ]
    },
    {
      "Id": "mp.com.1.aws.sg.3",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Evitar tener un repositorio de Security Groups que no estén siendo usados.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_securitygroup_not_used"
      ]
    },
    {
      "Id": "mp.com.1.aws.elb.1",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Habilitar TLS en los balanceadores de carga ELB ",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "elb_ssl_listeners"
      ]
    },
    {
      "Id": "mp.com.1.aws.elb.2",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Evitar el uso de protocolos de cifrado inseguros para las políticas de seguridad de ELB. Esto podría dejar la conexión SSL entre balanceadores y clientes vulnerables a ser explotados. En particular deberá evitarse el uso de TLS 1.0. ",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "elb_insecure_ssl_ciphers"
      ]
    },
    {
      "Id": "mp.com.1.aws.nfw.1",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Filtrar todo el tráfico entrante y saliente de la VPC a través de Firewalls de red.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "networkfirewall_in_all_vpc"
      ]
    },
    {
      "Id": "mp.com.1.aws.nfw.2",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Incidir en la utilización de AWS Firewall Manager para gestionar los firewalls de forma centralizada.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "networkfirewall_in_all_vpc"
      ]
    },
    {
      "Id": "mp.com.1.aws.s3.1",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Asegurar que los Buckets S3 de almacenamiento apliquen cifrado para la transferencia de datos empleando Secure Sockets Layer (SSL)",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "s3_bucket_secure_transport_policy"
      ]
    },
    {
      "Id": "mp.com.1.aws.cf.1",
      "Description": "Perímetro seguro",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Asegurar que la distribución entre frontales CloudFront y sus orígenes únicamente emplee tráfico HTTPs ",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudfront_distributions_https_enabled"
      ]
    },
    {
      "Id": "mp.com.3.aws.elb.1",
      "Description": "Protección de la integridad y de la autenticidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.3",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Habilitar TLS en los balanceadores de carga ELB.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "integridad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "elbv2_insecure_ssl_ciphers"
      ]
    },
    {
      "Id": "mp.com.3.aws.elb.2",
      "Description": "Protección de la integridad y de la autenticidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.3",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Evitar el uso de protocolos de cifrado inseguros en la conexión TLS entre clientes y balanceadores de carga. En particular, se deberá evitar el uso de TLS 1.0.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "integridad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "elbv2_insecure_ssl_ciphers"
      ]
    },
    {
      "Id": "mp.com.3.aws.s3.1",
      "Description": "Protección de la integridad y de la autenticidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.3",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Asegurar que los Buckets de almacenamiento S3 apliquen cifrado para la transferencia de datos empleando TLS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "integridad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "s3_bucket_secure_transport_policy"
      ]
    },
    {
      "Id": "mp.com.3.aws.cf.1",
      "Description": "Protección de la integridad y de la autenticidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.3",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Asegurar que la distribución entre frontales CloudFront y sus orígenes únicamente emplee tráfico HTTPS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "integridad",
            "autenticidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudfront_distributions_https_enabled"
      ]
    },
    {
      "Id": "mp.com.4.aws.vpc.1",
      "Description": "Separación de flujos de información en la red",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.4",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Los flujos de información de red se deben separar a través de la utilización de diferentes subnets.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "vpc_subnet_separate_private_public"
      ]
    },
    {
      "Id": "mp.com.4.aws.vpc.2",
      "Description": "Separación de flujos de información en la red",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.4",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Evitar el uso de subnets con la opción de asignación automática de IPs (auto-assign Public IP).",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_instance_internet_facing_with_instance_profile"
      ]
    },
    {
      "Id": "mp.com.4.r1.aws.vpc.1",
      "Description": "Segmentación lógica avanzada",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.4.r1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Implementar la segmentación a través de la utilización de diferentes VPCs.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "vpc_subnet_separate_private_public"
      ]
    },
    {
      "Id": "mp.com.4.r2.aws.vpc.1",
      "Description": "Segmentación lógica avanzada",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.4.r2",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Implementar la segmentación a través de la utilización de diferentes VPCs conectadas entre sí por VPN.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "vpc_peering_routing_tables_with_least_privilege"
      ]
    },
    {
      "Id": "mp.com.4.r3.aws.vpc.1",
      "Description": "Segmentación física",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.4.r3",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Implementar la segmentación a través de diferentes VPCs situadas en diferentes ubicaciones.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "vpc_subnet_different_az"
      ]
    },
    {
      "Id": "mp.si.2.aws.kms.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre el almacenamiento de las instancias en todos sus volúmenes de datos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_ebs_volume_encryption"
      ]
    },
    {
      "Id": "mp.si.2.aws.s3.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre los distintos buckets de S3, de los cuales se debe asegurar que tengan activado el cifrado en reposo.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "s3_bucket_default_encryption"
      ]
    },
    {
      "Id": "mp.si.2.aws.sqs.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre las colas de mensajes de AWS (Amazon SQS).",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "sqs_queues_server_side_encryption_enabled"
      ]
    },
    {
      "Id": "mp.si.2.aws.rds.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre las bases de datos AWS RDS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "rds_instance_storage_encrypted"
      ]
    },
    {
      "Id": "mp.si.2.aws.dydb.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre las bases de datos DynamoDB, que deben implementar cifrado seguro mediante el uso de claves de cliente (KMS).",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "dynamodb_tables_kms_cmk_encryption_enabled"
      ]
    },
    {
      "Id": "mp.si.2.aws.es.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Aplicar cifrado sobre todos los dominios del servicio Amazon Elasticsearch Service (ES). En caso de usar este servicio, deberá asegurarse la activación del cifrado en reposo.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "opensearch_service_domains_encryption_at_rest_enabled"
      ]
    },
    {
      "Id": "mp.si.2.aws.elb.1",
      "Description": "Criptografía",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Se recomienda dejar activada la opción de cifrado por defecto para nuevos volúmenes.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_ebs_snapshots_encrypted"
      ]
    },
    {
      "Id": "mp.si.2.r2.aws.ebs.1",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2.r2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Se deberá asegurar el cifrado de las copias de seguridad (snapshots) de EBS.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "ec2_ebs_snapshots_encrypted"
      ]
    },
    {
      "Id": "mp.sw.2.r1.aws.acb.1",
      "Description": "Aceptación y puesta en servicio",
      "Attributes": [
        {
          "IdGrupoControl": "mp.sw.2.r1",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "Habilitar Amazon CodeBuild para el apoyo de la realización de pruebas en entornos aisaldos.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "codebuild_project_older_90_days",
        "codebuild_project_user_controlled_buildspec"
      ]
    },
    {
      "Id": "mp.s.2.aws.waf.1",
      "Description": "Protección de servicios y aplicaciones web",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Todas las aplicaciones web distribuidas por el servicio de AWS CloudFront deben estar integradas con el servicio de firewall de aplicaciones web AWS WAF.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "cloudfront_distributions_using_waf"
      ]
    },
    {
      "Id": "mp.s.2.aws.waf.2",
      "Description": "Protección de servicios y aplicaciones web",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Los API gateways deben tener un ACL WAF asociado.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "apigateway_restapi_waf_acl_attached"
      ]
    },
    {
      "Id": "mp.s.2.aws.waf.3",
      "Description": "Protección de servicios y aplicaciones web",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Todos los balanceadores de aplicación deben estar integrados con el servicio de firewall de aplicación web para quedar protegidos ante ataques de la capa de aplicación",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "elbv2_waf_acl_attached"
      ]
    },
    {
      "Id": "mp.s.4.r1.aws.shieldadv.1",
      "Description": "Detección y reacción",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.4.r1",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Activar AWS Shield Advanced con el fin de disponer de una herramienta de prevención, detección y mitigación de ataques de denegación de servicio.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "shield_advanced_protection_in_associated_elastic_ips",
        "shield_advanced_protection_in_classic_load_balancers",
        "shield_advanced_protection_in_cloudfront_distributions",
        "shield_advanced_protection_in_global_accelerators",
        "shield_advanced_protection_in_internet_facing_load_balancers",
        "shield_advanced_protection_in_route53_hosted_zones"
      ]
    },
    {
      "Id": "mp.s.4.aws.as.1",
      "Description": "Protección frente a la denegación de servicio ",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.4",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Activar la solución AWS Auto Scaling para dotar a los sistemas de la capacidad suficiente para atender la carga prevista con holgura y desplegar tecnologías para la prevención de ataques conocidos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "autoscaling_group_multiple_az"
      ]
    },
    {
      "Id": "op.pl.2.aws.warch.1",
      "Description": "Sistema de gestión",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.2.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.2.aws.warch.1",
      "Description": "Sistema de gestión de la seguridad con mejora continua",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.2.r2",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.2.aws.warch.1",
      "Description": "Validación de datos",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.2.r3",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Es recomendable que la entidad usuaria se apoye en el marco de trabajo AWS Well-Architected Framework",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.aws.ec2.1",
      "Description": "Necesidades de procesamiento",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "La entidad usuaria deberá llevar a cabo el estudio de capacidades a las que hace referencia la medida de seguridad, si bien (…) deberá tener especialmente en cuenta: * Las capacidades de procesamiento, almacenamiento y comunicaciones de las instancais desplegadas en AWS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.aws.sq.1",
      "Description": "Necesidades de procesamiento",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "La entidad usuaria deberá llevar a cabo el estudio de capacidades a las que hace referencia la medida de seguridad, si bien (…) deberá tener especialmente en cuenta: * Las cuotas de los servicios a utilizar.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.cw.1",
      "Description": "Mejora continua de la gestión de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "En caso de no disponer de herramientas de terceros, se deberán utilizar las herramientas de monitorización de la capaciad indicadas para monitorizar las capacidades de la infraestructura y el grado de consumo de los servicios en función de las cuotas disponibles. (CloudWatch)",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.sq.1",
      "Description": "Mejora continua de la gestión de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "En caso de no disponer de herramientas de terceros, se deberán utilizar las herramientas de monitorización de la capaciad indicadas para monitorizar las capacidades de la infraestructura y el grado de consumo de los servicios en función de las cuotas disponibles. (Service Quotas)",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.sq.2",
      "Description": "Previsión y actualización de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "En cuanto a la monitorización sobre el grado de consumo, utilizar la solución nativa Quota Monitor.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.sns.1",
      "Description": "Monitorización de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Para la creación de alarmas en materia de capacidad de las instancias, se debe configurar un tema de SNS que permita el envío de mails automáticos a la dirección de correo seleccionada.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.sns.2",
      "Description": "Monitorización de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Configurar alarmas correspondientes a las diferentes capacidades (SNS) como uso de CPU, capacidad de almacenamiento o latencia.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.pl.4.r1.aws.sq.3",
      "Description": "Monitorización de la capacidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.pl.4.r1",
          "Marco": "operacional",
          "Categoria": "planificación",
          "DescripcionControl": "Visualizar las cuotas de servicio y configurar alarmas a través de la integración de AWS Service Quotas con CloudWatch.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.1",
      "Description": "Identificador único",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Utilizar los grupos y roles, en lugar de los usuarios individuales, para controlar el acceso. Esto permitirá implementar un conjunto de permisos en lugar de actualizar muchas políticas individuales cuando el acceso de un usuario necesita cambiar.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.3",
      "Description": "Proveedor de identidad centralizado",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "El usuario raíz actúa como usuario IAM de seguridad (usuario \"breakglass\"), dado que no se encuentra sincronizado con el proveedor de identidades externo, lo que permite la recuperación de emergencia del acceso a AWS en caso de imposibilidad de autenticar a los usuarios a través del proveedor de identidades.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.4",
      "Description": "Identificador único",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Utilizar identificadores únicos para los usuarios del sistema.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.5",
      "Description": "Identificador único",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Cada cuenta estará asociada a un identificador único.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.6",
      "Description": "Cuentas de usuario",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organización; cuando el usuario cesa en la función para la cual se requería la cuenta de usuario; o, cuando la persona que la autorizó, da orden en sentido contrario.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.aws.iam.7",
      "Description": "Cuentas de usuario",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las cuentas se retendrán durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominará periodo de retención.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.1.r1.aws.iam.1",
      "Description": "Identificación de usuario",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.1.r1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Los identificadores de usuario deberán ser asignados en el proveedor de identidades (o en IAM) de modo que se permita singularizar a la persona asociada a cada identificador y cumplir con el resto de requisitos del refuerzo",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.iam.1",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Hacer uso de las políticas IAM para la asignación de privilegios de acceso. Deberán administrarse permisos para controlar el acceso de las identidades de personas y máquinas y sus cargas de trabajo.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.vpn.1",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberá definirse una correcta política de permisos IAM para operaciones de Amazon WorkSpaces según las recomendaciónes establecidas en la sección 3.1.1 Control de Acceso de la guía CCN STIC-887A Guía de configuración segura AWS.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.iam.2",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberá definirse una política IAM que conceda permiso al usuario o rol de IAM para utilizar los recursos y las acciones de la API específicos que necesita",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.iam.3",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "De acuerdo con las medidas del Esquema Nacional de seguridad los derechos de acceso de cada recurso, se establecerán según las decisiones de la persona responsable del recurso, ateniéndose a la política y normativa de seguridad del sistema",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.vpn.2",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberán restringirse los permisos a usuarios para utilizar la acción ec2:DescribeVpnConnections. Esta acción permite a los usuarios ver la información de configuración de la gateway de cliente sobre las conexiones Site-to-Site VPN de su cuenta.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.aws.vpn.3",
      "Description": "Requisitos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "La rotación de certificados de VPN deberá asignarse siguiendo las recomendaciónes de segregación de funciones tal y como se explica en la sección 3.1.1.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.2.r1.aws.iam.1",
      "Description": "Privilegios de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.2.r1",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Evitar el uso de asunción de roles para cualquier cuenta.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.3.aws.iam.1",
      "Description": "Segregación de funciones y tareas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Enumerar los recursos específicos a los que puede obtener acceso una función de trabajo.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.3.aws.iam.2",
      "Description": "Segregación de funciones y tareas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Emplear correctamente el uso de RBAC/ABAC para separar las funciones de desarrollo y operación.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.3.aws.iam.3",
      "Description": "Segregación de funciones y tareas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Emplear correctamente el uso de RBAC/ABAC para separar las funciones de autorización y control de uso.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.3.aws.iam.4",
      "Description": "Segregación de funciones y tareas",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las políticas IAM deberían estar asociadas solo a grupos y a roles.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.3.r3.aws.iam.1",
      "Description": "Acceso a la información de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.3.r3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Limitar el acceso a la información de seguridad del sistema a los administradores de seguridad utilizando los mecanismos de acceso imprescindibles (consola, interfaz web, acceso remoto etc.).",
          "Nivel": "opcional",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.12",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las políticas IAM únicamente deben poder asignarse por el usuario que tenga la función de control de accesos expresamente atribuida.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.13",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "No utilizar el usuario raíz salvo necesidad expresa.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.3",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Para una correcta implementación de la estrategia de políticas de acceso, se recomienda utilizar la herramienta Policy Simulator para probar y solucionar posibles problemas en la asignación de políticas.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.4",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se puede utilizar Acces Analyzer para identificar recursos y cuentas, validar las políticas contra las prácticas recomendadas y generar políticas con base en la actividad de acceso de registros de CloudTrail.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.5",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "En cuanto a los accesos a las instancias alojadas en AWS se recomienda emplear mecanismos para mantener a las personas alejadas de los datos. Es decir, limitar al máximo el acceso directo a los datos por parte de los usuarios.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.10",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se evitará que los usuarios puedan deshabilitar o modificar servicios relacionados con el área de seguridad como AWS Config o AWS CloudWatch.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.iam.11",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberá definirse una política de IAM que conceda permiso al usuario o rol de IAM  para utilizar exclusivamente los recursos y las acciones de WorkSpace que necesita.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.vpn.1",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Las configuraciones de las políticas de las AWS VPN deben tener las redes específicas con las que se va a establecer la conectividad y evitar políticas genéricas basadas en routing donde se pierde el control granular de las redes permitidas en los SA de la VPN.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.4.aws.vpn.2",
      "Description": "Proceso de gestión de derechos de acceso",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.4",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "En configuraciones de AWS DirectConnect, deberán controlarse los AS y el routing que se lleva por BGP, de modo que se propague el mínimo de rutas y se asegure que no exista redistribución de rutas/redes privadas de entornos del cliente hacia el ISP.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.6.r2.aws.iam.2",
      "Description": "Contraseña + otro factor de autenticación",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r2",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Se recomienda que la organización determine qué llamadas a la API deben también contar con seguridad reforzada a través de un doble factor de autenticación.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.6.r3.aws.iam.1",
      "Description": "Certificados",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r3",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Utilizar el servicio AWS IAM Roles Anywhere para crear un ancla de confianza en la que se haga referencia al servicio AWS Certificate Manager Private CA o registrar sus propias autoridades de certificación (CA), permitiendo usar el certificado emitido por la misma para obtener credenciales temporales para el acceso al entorno AWS. Estos certificados deberán estar protegidos por un segundo factor.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.6.r5.aws.iam.2",
      "Description": "Registro",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.r5",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Habilitar la información de usuario sobre la fecha de último uso de sus claves de acceso.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.6.r9.aws.iam.1",
      "Description": "Acceso remoto (todos los niveles)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.9",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "Deberá asegurarse que se está haciendo uso de HTTPS en todas las llamadas a API. Esto se puede lograr a través de una política IAM que rechace el tráfico que no sea HTTPS.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.acc.6.r9.aws.iam.2",
      "Description": "Acceso remoto (todos los niveles)",
      "Attributes": [
        {
          "IdGrupoControl": "op.acc.6.9",
          "Marco": "operacional",
          "Categoria": "control de acceso",
          "DescripcionControl": "En caso de que las llamadas a las APIs no se produzcan de manera constante, se recomienda condicionar su realización a aquellas franjas horarias en las que sean necesarias. ",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.1.r2.aws.sminv.1",
      "Description": "Identificación periódica de activos",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1.r2",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Disponer de herramientas que permitan visualizar de forma continua el estado de todos los equipos en la red, en particular servidores y los dispositivos de red y comunicaciones.",
          "Nivel": "opcional",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.1.r3.aws.tag.1",
      "Description": "Lista de componentes software",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.1.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Mantener actualizada una relación de los componentes software de terceros utilizados en el despliegue del sistema. Listado equivalente a lo requerido en mp.sw.1.r5.",
          "Nivel": "opcional",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.3.r4.aws.cfg.2",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.3.r3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Desplegar toda la infraestructura de AWS a través de código con el servicio AWS CloudFormation.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.4.aws.ami.1",
      "Description": "Mantenimiento y actualizaciones de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Una forma eficiente de garantizar la instalación de las versiones actualizadas y aprobadas del software de los sistemas es la utilización de Golden AMIs.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.5.aws.cm.1",
      "Description": "Gestión de cambios",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.5",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "La entidad usuaria puede hacer uso de la utilidad AWS Change Manager para mantener un registro actualizado de las plantillas y peticiones de cambio en las que se incluya información en detalle sobre estos.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.5.aws.cal.1",
      "Description": "Gestión de cambios",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.5",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar AWS Change Calendar para establecer una ventana de tiempo (fecha y hora) en la que realizar los cambios y las pruebas de preproducción en equipos equivalentes a los de producción sin riesgo a que estas afecten a la continuidad del servicio prestado.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.6.r1.aws.sys.1",
      "Description": "Escaneo periódico",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.6.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Automatizar las operaciones estándar a llevar a cabo para la respuesta en caso de incidente a través de AWS System Manager",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.6.r3.aws.sys.1",
      "Description": "Lista blanca",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.6.r3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Hacer uso de AWS System Manager Inventory para definir, a nivel de software, una lista blanca de aplicaciones.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.6.r4.aws.sys.1",
      "Description": "Capacidad de respuesta en caso de incidente",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.6.r4",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Automatizar tareas estándar a través de AWS System Manager",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.8.r1.aws.cw.1",
      "Description": "Revisión de los registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r1",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar el servicio AWS CloudWatch para centralizar y revisar los registros de todos los sistemas independientemente de su origen.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.8.r3.aws.ct.1",
      "Description": "Retención de registros",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.8.r3",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Ejecutar la acción PutRetentionPolicy de Amazon CloudWatch, permitiendo así establecer la retención del grupo de registros especificado y configurar el número de días durante los cuales se conservarán los eventos de registro en el grupo seleccionado de acuerdo con el documento de seguridad correspondiente. Paralelamente, se debe definir un periodo de retención para los datos almacenados en CloudTrail Lakes.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "trazabilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.10.aws.cmk.6",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar el principio de mínimos privilegios para las políticas asociadas a claves.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.10.aws.cmk.7",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar tags y alias para una mejor administración de las claves.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.exp.10.aws.cmk.8",
      "Description": "Protección de claves criptográficas",
      "Attributes": [
        {
          "IdGrupoControl": "op.exp.10",
          "Marco": "operacional",
          "Categoria": "explotación",
          "DescripcionControl": "Utilizar las políticas IAM y las concesiones de claves para el acceso a las mismas.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.cont.2.aws.az.1",
      "Description": "Plan de continuidad",
      "Attributes": [
        {
          "IdGrupoControl": "op.cont.2",
          "Marco": "operacional",
          "Categoria": "continuidad del servicio",
          "DescripcionControl": "(Organizativo) Deberá implementarse correctamente la distribución de servicios según regiones y zonas de disponibilidad para limitar al máximo los riesgos asociados a una única ubicación.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.cont.3.aws.drs.1",
      "Description": "Pruebas periódicas",
      "Attributes": [
        {
          "IdGrupoControl": "op.cont.3",
          "Marco": "operacional",
          "Categoria": "continuidad del servicio",
          "DescripcionControl": "La organización puede hacer uso del servicio AWS Elastic Disaster Recovery, programando y ejecutando pruebas no disruptivas (simulacros que no afectan ni al servidor de origen ni a la replicación de datos en curso) que prueben el correcto funcionamiento de las recuperaciones del plan de continuidad.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "drs_job_exist"
      ]
    },
    {
      "Id": "op.mon.1.aws.gd.4",
      "Description": "Detección de intrusión",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.1",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "La administración de Amazon GuardDuty quedará delegada exclusivamente a la cuenta de seguridad para garantizar una correcta asignación de los roles para este servicio.",
          "Nivel": "alto",
          "Tipo": "medida",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "op.mon.3.aws.cwl.1",
      "Description": "Vigilancia",
      "Attributes": [
        {
          "IdGrupoControl": "op.mon.3",
          "Marco": "operacional",
          "Categoria": "monitorización del sistema",
          "DescripcionControl": "Deberá asegurarse que todos los servicios que se utilicen en la arquitectura de la aplicación desplegada en AWS estén generando logs",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.com.2.aws.vpn.1",
      "Description": "Protección de la confidencialidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Garantizar que las conexiones entre la VPC y la red local (remota) se canalizan a través de VPN Site-to-Site o bien a través de Direct Connect.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.com.2.aws.vpn.2",
      "Description": "Protección de la confidencialidad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.2",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Garantizar que las conexiones entre la VPC y la red local (remota) se canalizan a través de VPN Site-to-Site o bien a través de Direct Connect.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.com.3.r1.aws.vpn.1",
      "Description": "Redes privadas virtuales",
      "Attributes": [
        {
          "IdGrupoControl": "mp.com.3.r1",
          "Marco": "medidas de protección",
          "Categoria": "protección de las comunicaciones",
          "DescripcionControl": "Utilizar VPN Site-to-Site para conectar las VPCs con las redes locales o externas.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "integridad",
            "autenticidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.si.2.r1.aws.kms.1",
      "Description": "Productos certificados",
      "Attributes": [
        {
          "IdGrupoControl": "mp.si.2.r1",
          "Marco": "medidas de protección",
          "Categoria": "protección de los soportes de información",
          "DescripcionControl": "Utilizar productos certificados conforme a op.pl.5, si bien AWS KMS es un producto certificado cuyo uso satisface la exigencia de este control.",
          "Nivel": "alto",
          "Tipo": "refuerzo",
          "Dimensiones": [
            "confidencialidad",
            "integridad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.sw.2.r1.aws.cfgd.1",
      "Description": "Aceptación y puesta en servicio",
      "Attributes": [
        {
          "IdGrupoControl": "mp.sw.2.r2",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "Habilitar CloudFormation Guard para el apoyo en las tareas de inspección de recursos no conformes implementados en el código fuente.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.info.6.aws.iam.1",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.info.6",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "La organización puede hacer uso de roles y políticas IAM para la definición y asignación de permisos en cuanto a controles de acceso de las copias de respaldo.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.info.6.aws.bcku.1",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.info.6",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "Para los procedimientos de respaldo de cualquiera de los dos entornos (local y nube) y siempre y cuando se utilicen recursos compatibles en el entorno local, la entidad puede hacer uso de AWS Backup, que permite elaboración de planes de respaldo y la definición de reglas de frecuencia, ciclo de vida, lugar de almacenamiento y etiquetado de las copias de seguridad.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "backup_plans_exist",
        "backup_vaults_exist",
        "backup_reportplans_exist"
      ]
    },
    {
      "Id": "mp.info.6.aws.tag.1",
      "Description": "Copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.info.6",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "Los planes de respaldo se pueden integrar con AWS Tags, acotando con base en las etiquetas de los recursos el alcance de cada proceso de copiado.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "automático"
        }
      ],
      "Checks": [
        "organizations_tags_policies_enabled_and_attached"
      ]
    },
    {
      "Id": "mp.info.6.r2.aws.bcku.1",
      "Description": "Protección de las copias de seguridad",
      "Attributes": [
        {
          "IdGrupoControl": "mp.info.6.r2",
          "Marco": "medidas de protección",
          "Categoria": "protección de la información",
          "DescripcionControl": "La organización puede hacer uso de la nube de AWS como ubicación diferente para el almacenamiento de la copia de seguridad separada del resto o, incluo, utilizar los servicios de ubicación para separar una copia de seguridad en una ubicación diferente dentro de la propia nube.",
          "Nivel": "alto",
          "Tipo": "recomendacion",
          "Dimensiones": [
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.s.1.aws.wm.1",
      "Description": "Protección del correo electrónico",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Se deberá hacer uso del cifrado de la información contenida en los correos electrónicos.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.s.1.aws.wm.3",
      "Description": "Protección del correo electrónico",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "En SES, se debe hacer uso de la opción que permite a los usuarios enviar correo electrónico cifrado con S/MIME",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    },
    {
      "Id": "mp.s.1.aws.wm.2",
      "Description": "Protección del correo electrónico",
      "Attributes": [
        {
          "IdGrupoControl": "mp.s.1",
          "Marco": "medidas de protección",
          "Categoria": "protección de los servicios",
          "DescripcionControl": "Habilitar el registro de eventos de Workmail en CloudWatch para realizar el seguimiento de mensajes con spam.",
          "Nivel": "alto",
          "Tipo": "requisito",
          "Dimensiones": [
            "confidencialidad",
            "integridad",
            "trazabilidad",
            "autenticidad",
            "disponibilidad"
          ],
          "ModoEjecucion": "manual"
        }
      ],
      "Checks": []
    }
  ]
}
