¿Qué exige este criterio?
Una matriz formal de incompatibilidades entre roles. Ningún individuo puede acumular funciones que en combinación permitan eludir controles: típicamente un mismo individuo NO puede ser administrador de sistemas y auditor; ni custodio de claves y operador del servicio simultáneamente. La segregación debe ser efectiva en los sistemas (autorización dual en HSM, permisos IAM diferenciados) no solo en política.

¿Qué hay que revisar al cliente?

• Matriz de incompatibilidades entre roles.
• Procedimiento que documenta cómo se aplica la segregación.
• Configuración real de los sistemas (HSM, IAM, SIEM): ¿implementan la segregación efectivamente?
• Personas con privilegios elevados: ¿alguno acumula funciones incompatibles?
• Histórico de excepciones aprobadas y su justificación temporal.

Preguntas clave para las entrevistas

• ¿Qué funciones son específicamente incompatibles en este servicio?
• ¿Quién aprueba una excepción a la segregación y por cuánto tiempo?
• ¿Hay alguien que pueda generar una clave en HSM en solitario?
• ¿El auditor interno tiene privilegios técnicos sobre los sistemas que audita?

¿Por qué es esencial para QERDS y TSA?
La concentración de privilegios es el vector número uno de fraude interno en TSP. Un único individuo con acceso al HSM y al SIEM podría falsificar evidencias y borrar el rastro. El CAB inspecciona específicamente esta matriz porque es donde más fácilmente se descubren riesgos críticos. Para TSA es vital la segregación entre quien custodia la clave de la TSU y quien opera el servicio.

Evidencia que demostraría conformidad

• Matriz de incompatibilidades formal.
• Procedimiento de segregación documentado.
• Configuración técnica que la implementa (extracto IAM, configuración HSM).
• Auditoría reciente que valide la segregación.