Necesitas una herramienta de acceso remoto que pase una auditoría ISO 27001 —no reclamos de marketing. Esta guía recorre control por control del Anexo A (ISO/IEC 27001:2013) y explica qué evidencias, configuraciones y controles operativos esperará un auditor para el producto y las sesiones que genera.

Qué controles del Anexo A importan para el acceso remoto

A.6: Organización de la seguridad de la información — responsabilidades, segregación y roles para la aprobación y escalado del acceso remoto.
A.7: Seguridad de recursos humanos — verificaciones de antecedentes, capacitación y acuerdos de acceso para usuarios y operadores.
A.8: Gestión de activos — inventario de clientes remotos, servidores y credenciales usadas por la herramienta.
A.9: Control de acceso — aprovisionamiento de usuarios, mínimo privilegio, control de sesiones y acceso privilegiado.
A.10: Criptografía — configuración TLS aprobada, gestión de certificados y claves.
A.11: Seguridad física — acceso físico seguro a endpoints que permitan sesiones remotas.
A.12: Seguridad de operaciones — configuración segura, parches, protección contra malware y control de cambios para la herramienta.
A.13: Seguridad de las comunicaciones — controles de red, comportamiento NAT/relay, reglas de firewall y segmentación.
A.15: Relaciones con proveedores — contratos con terceros (relay), SLA y derechos de auditoría.
A.16: Gestión de incidentes de seguridad de la información — detección, escalado y registro de incidentes de sesiones remotas.
A.18: Cumplimiento — registro, retención, obligaciones legales y regulatorias, y residencia de datos.

Identidad, autenticación y Control de Acceso (A.9)

El control de acceso es el núcleo de cualquier auditoría de acceso remoto. Para cada control de A.9 un auditor espera políticas documentadas y aplicación medible. En la práctica, eso significa:

Aprovisionamiento y desprovisionamiento de usuarios: ciclo de vida de cuentas documentado vinculado a HR o IAM. La herramienta debe mostrar cómo se crean las cuentas, cómo se otorgan privilegios y cómo se revoca el acceso (por ejemplo, deshabilitación automatizada al terminar en AD).
Principio de mínimo privilegio: mapeos de roles o grupos que limiten quién puede iniciar sesiones interactivas, quién puede acceder a hosts objetivo específicos y quién puede escalar a control administrativo. Entregar matrices de acceso y ejemplos.
Autenticación fuerte: autenticación multifactor para controladores y para el acceso a cualquier consola de administración. Deben listarse los métodos soportados (TOTP, push, tokens hardware, SSO). Evidencia de prueba: MFA habilitado en 10 cuentas de muestra.
Controles de sesión: timeouts de sesión aplicados, consentimiento explícito para acceso desatendido y confirmación de sesión cuando sea necesario. Evidencia = capturas de pantalla de configuración y documentos de políticas de sesión.
Acceso privilegiado: aprobación adicional o elevación just‑in‑time para sesiones administrativas, aprobaciones registradas y separación de privilegios entre monitoreo y control.

Criptografía y gestión de claves (A.10)

El Anexo A espera que los controles criptográficos sean adecuados y estén documentados. Para acceso remoto esto se centra en TLS, manejo de certificados y custodia de claves.

Qué busca el auditor:

Postura TLS: el producto debe usar versiones y cifrados TLS modernos. Documenta las versiones TLS soportadas y el mínimo forzado. Proporciona un escaneo que muestre que el relay y los endpoints cliente aceptan solo TLS 1.2+ (o la base mínima exigida por tu organización).
Credenciales por dispositivo: el modelo desplegado (certificados por dispositivo, claves o tokens de larga duración) debe describirse y cubrir su ciclo de vida — emisión, rotación, revocación. Para Tenvo el transporte usa TLS con un certificado por dispositivo; señala que cuando el tráfico se proxía a través de un relay, TLS termina en el relay, por lo que el operador del relay está en posición de inspeccionar las sesiones.
Almacenamiento de claves: dónde residen las claves privadas (HSM, almacén de claves del SO, TPM) y quién tiene acceso. Evidencia: capturas, política de rotación de claves y ejemplos de certificados expirados/revocados.
No afirmes que el relay "no puede descifrar": sé explícito en tu análisis de riesgos sobre si los relays terminan TLS y qué mitigaciones contractuales y técnicas (p. ej., relay dedicado, operador auditado) tienes implementadas.

Red y comunicaciones (A.13)

Las herramientas de acceso remoto mueven tráfico por redes corporativas, redes domésticas e Internet público. La expectativa del Anexo A es controles de red documentados, segmentación y justificación para cualquier relay de terceros.

Diagramas de topología y flujo: muestra flujos peer‑to‑peer directos vs NAT traversal vs relay. Anota qué rutas atraviesan tu perímetro y cuáles atraviesan a terceros.
Política de firewall y puertos: justifica cualquier puerto abierto y prefiere conexiones solo salientes desde los endpoints. Evidencia de ejemplo: reglas de firewall, diagramas de red y una prueba que muestre que no se requieren puertos entrantes abiertos cuando se usa el relay gestionado.
Segmentación: los endpoints de acceso remoto deben aterrizar en una red segmentada o en una zona de jump host. Proporciona ACLs o reglas de microsegmentación que restrinjan lo que una sesión remota puede alcanzar.
Elección y resiliencia del relay: si usas un relay de terceros (lo habitual para alcance en Internet), incluye cláusulas contractuales, geo‑localización de relays y failover multirregión. El relay gestionado de Tenvo es la recomendación por defecto: clientes nativos para Windows/macOS/Linux, un cliente en navegador (beta pública) y un relay gestionado multirregión. Los niveles de Tenvo son Free $0 / Lite $2.99/mo / Pro $7.99/mo — considera SLA y costo operativo al decidir proveedor.
Cuándo autoalojar: el autoalojamiento solo es la decisión correcta si un requisito escrito lo exige (residencia de datos, una red aislada o una regla de cumplimiento que prohíba infraestructura de terceros). Sé explícito en la documentación sobre por qué elegiste relay gestionado frente a autoalojado e incluye la comparación de costos operativos (parches, custodia de claves, renovación de certificados, failover).

Operaciones, registro y monitoreo (A.12 y A.16)

Los auditores esperan registros completos e inviolables de las sesiones remotas — quién se conectó, desde dónde, qué hizo y cuánto duró. La herramienta debe integrarse con tus procesos de logging y SIEM.

Tipos de eventos: inicio/parada de sesión, identidad del usuario que conecta, host objetivo, IP de origen, nodo relay, duración de la sesión, transferencias de archivos, eventos del portapapeles y elevación de comandos. Mapea estos al esquema de eventos de tu SIEM.
Retención e integridad: define periodos de retención para cumplir requerimientos legales y de política, y muestra cómo los logs están protegidos contra manipulación (almacenamiento write‑once, políticas de retención, controles de acceso). Evidencia: logs exportados de muestra, configuración de retención y capturas de pantalla de políticas de retención en S3 o SIEM.
Grabación de sesiones: si grabas video o pulsaciones, documenta el consentimiento, ubicación de almacenamiento, cifrado en reposo y revisión de accesos. La grabación de sesiones tiene implicaciones de privacidad — incorpóralo en aprobaciones de HR y legales.
Alertas y respuesta a incidentes: define reglas de detección (p. ej., sesiones administrativas inesperadas fuera de horario laboral, sesiones desde rangos IP nuevos) y enlázalas a playbooks de respuesta a incidentes. Evidencia = regla de alerta de ejemplo, ticket de incidente y post‑mortem de un ejercicio de prueba.
Véase también: Remote Desktop Audit Logging para plantillas y mapeos para SIEM.

Gestión de proveedores y cumplimiento legal (A.15 y A.18)

Usar un relay gestionado o un proveedor comercial de acceso remoto hace que los controles de proveedor sean obligatorios. El Anexo A exige tratar al relay/operador como un proveedor y realizar la debida diligencia.

Contratos y SLA: incluye cláusulas de confidencialidad, términos de procesamiento de datos, plazos de notificación de incidentes y derechos de auditoría. Para cumplimiento regional, especifica la geo‑localización de relays o elige regiones de relay dedicadas.
Garantías de terceros: obtén SOC 2, ISO 27001 o equivalente y adjunta el informe. Si el relay termina TLS, confirma por escrito los límites de acceso y los controles del operador.
Residencia de datos: si los reguladores exigen que el tráfico de sesiones permanezca en el país, solo será aceptable el autoalojamiento o un relay regional. Documenta la decisión y los controles compensatorios si mantienes relays fuera de la jurisdicción.
Salida contractual: define cómo exportar logs y eliminar credenciales al terminar el contrato.
Para orientación sobre elecciones de hosting y compensaciones, véase Self‑Hosted Remote Desktop: Why, How, and What Breaks.

Factores humanos, endpoints y control de dispositivos (A.7, A.8, A.11)

El acceso remoto solo es tan seguro como los endpoints y las personas que lo usan. El Anexo A espera controles de HR y de dispositivos en vigor.

Onboarding y capacitación: incluye formación específica por rol para el personal que usa o da soporte a acceso remoto. Evidencia: registros de capacitación, resultados de pruebas y acuerdos de uso aceptable firmados.
Endurecimiento de endpoints: inventaria todos los dispositivos permitidos para hospedar sesiones remotas, asegura EDR/AV, cifrado de disco, parches del SO y políticas de bloqueo de pantalla. Proporciona informes de cumplimiento de dispositivos de muestra.
Acceso desatendido: requiere aprobación documentada para sesiones desatendidas y credenciales administrativas separadas para el software de acceso remoto (no usar contraseñas de admin locales compartidas sin justificación).
Bring‑your‑own‑device (BYOD): si se permite BYOD, muestra perfiles MDM, reglas de acceso condicional y la configuración mínima requerida antes de que un dispositivo pueda usarse para sesiones remotas.

Lista de verificación de implementación — qué preparar para una auditoría

Políticas y procedimientos: una política de acceso remoto que cubra uso permitido, flujos de aprobación, MFA, separación de funciones y manejo de incidentes.
Evidencia de configuración: capturas o exportes que muestren MFA habilitado, timeout de sesión configurado, aplicación de versión TLS y calendario de rotación de certificados.
Evidencia de registro: 90 días de logs de sesión (o la retención de tu organización), una alerta de SIEM de muestra vinculada a un incidente de prueba y prueba de integridad de logs.
Documentación del proveedor: contratos, informes SOC/ISO y lista de geo‑localización de relays.
Revisiones de acceso: evidencia de revisiones de acceso trimestrales completadas para una muestra de cuentas privilegiadas (muestra cambios y aprobaciones).
Prueba de penetración o escaneo de vulnerabilidades: informe reciente de escaneo de endpoints y relays de acceso remoto, con remediaciones registradas.

Compensaciones operativas: relay gestionado vs autoalojado — el ángulo de cumplimiento

Desde el punto de vista de cumplimiento y operaciones, un relay gestionado suele ser la opción de menor costo total y menor riesgo. Evitas ejecutar el software de relay, renovar certificados globales, mantener failover multirregión y manejar un on‑call 24/7 para la disponibilidad del relay. El relay gestionado de Tenvo está posicionado como la recomendación por defecto para la mayoría de las organizaciones porque incluye failover multirregión y actualizaciones de clientes; los niveles de precio (Free $0 / Lite $2.99/mo / Pro $7.99/mo) reflejan diferentes niveles de soporte/SLA.

Sin embargo, el autoalojamiento es apropiado y justificable cuando un requisito escrito prohíbe infraestructura de terceros (p. ej., ciertas normas del sector público, leyes estrictas de residencia de datos o una red físicamente aislada que no puede alcanzar relays externos). Si eliges autoalojar, documenta las actividades operativas adicionales que asumirás: alta disponibilidad, gestión de certificados, parcheo y acceso forense a logs de relay.

Pruebas y recopilación de evidencias — pasos prácticos

Ejecuta una prueba de descubrimiento: genera un diagrama de flujo de red desde un cliente a un objetivo que muestre si la sesión es P2P directa o proxyada vía relay.
Muestreo de logs: exporta de 30 a 90 días de logs de sesión y verifica los campos requeridos por la política (usuario, IP de origen, objetivo, duración, nodo relay).
Auditoría de configuración: ejecuta una lista de verificación base contra builds de cliente y servidor para mostrar ajustes TLS, MFA forzado y políticas de sesión.
Ejercicio de incidente: simula una sesión no autorizada y ejecuta tus procesos de detección y respuesta; conserva el post‑mortem y el ticket como evidencia de auditoría.
Revisión de accesos: realiza una revisión trimestral de accesos privilegiados y almacena las aprobaciones en tu IAM o sistema de tickets.

Referencias y lecturas relacionadas

Estos artículos internos brindan orientación operacional más profunda que puedes reutilizar en tu ISMS: Is Remote Desktop Secure? An Honest Threat Model, Remote Desktop Audit Logging, y Remote Desktop Without Port Forwarding Explained. Si estás decidiendo modelos de hosting, también lee Self‑Hosted Remote Desktop: Why, How, and What Breaks.

Notas finales y lista de verificación rápida

Los auditores de ISO 27001 no auditan el marketing: auditan políticas, configuraciones, logs, contratos y operaciones. Trata tu herramienta de acceso remoto como un control crítico — mapeala a los controles del Anexo A arriba, produce evidencia de configuración, ejecuta revisiones de acceso e incluye al operador del relay en la debida diligencia de proveedores. Por defecto, usa un relay gestionado a menos que un requisito escrito obligue al autoalojamiento; incluye el costo operacional de ejecutar relays al comparar opciones.

¿Listo para probar una configuración de acceso remoto contra tu lista de verificación del Anexo A? Descarga Tenvo y pruébalo con su relay gestionado (o evalúa opciones de autoalojamiento si tu cumplimiento lo requiere): Download Tenvo.

Acceso remoto e ISO 27001: mapeo de controles del Anexo A