Cuentas privilegiadas

Una cuenta con privilegio permanente tiene el rol de administración encendido las 24 horas, lo use o no. El privilegio justo a tiempo funciona al revés: la persona tiene una cuenta común, y cuando necesita administrar pide el rol por una ventana corta, con motivo y a veces con aprobación; al terminar, el rol se retira solo. El resultado es que el privilegio solo existe cuando hay una tarea que lo justifique, y que queda escrito quién lo pidió y para qué.

Esto encaja con el principio de la norma de conceder el acceso con el mínimo privilegio necesario para la tarea y evaluarlo en cada sesión.

Toda cuenta privilegiada debe tener un dueño: una persona o un área que responda por ella, apruebe su acceso y sepa si sigue haciendo falta. Una cuenta sin dueño es la que sobrevive a los cambios de personal, a las auditorías y a las revisiones de acceso, porque nadie la pone en la lista.

Abre el inventario de cuentas privilegiadas y localiza la que figura sin dueño.

Una cuenta compartida rompe la atribución: el registro dice que «la cuenta» hizo algo, pero no quién. Se puede ver desde qué equipo se usó, y eso ayuda poco cuando cinco personas conocen la clave. En la tabla de contexto está el horario laboral del área de TI. Un uso fuera de ese horario no prueba nada por sí mismo, pero es lo que un revisor mira primero, y aquí no hay forma de preguntarle a nadie.

Revisa el registro de uso de la cuenta compartida y compara cada hora con el horario de TI.

Un rol permanente que no se usa es riesgo sin beneficio. Es lo primero que se retira o se convierte en justo a tiempo: no cuesta nada al negocio, porque nadie lo está usando. La columna de permisos usados en 90 días lo muestra mejor que la del último inicio de sesión.

Compara en el inventario las cuentas personales con privilegio permanente y busca la que no ha usado ningún permiso del rol que tiene.

Las cuentas de servicio no tienen persona ni segundo factor: la defensa es darles solo lo que usan y poder vigilarlas. La del respaldo tiene el rol de administrador del dominio, y lo que usa de verdad está en la última columna del inventario. Una contraseña que lleva años sin cambiarse agrava el riesgo, pero rotarla sin quitar el rol solo repite el problema con una contraseña nueva.