Qué es una cuenta privilegiada y dónde vive

Una cuenta privilegiada es la que puede hacer cosas que una cuenta normal no puede: crear o borrar cuentas, cambiar permisos, leer todo un sistema, parar un servicio, tocar la configuración de seguridad. No se define por el cargo de quien la usa ni por la longitud de su contraseña, sino por el alcance de lo que permite. Por eso el riesgo es desigual: perder la cuenta de un analista cuesta lo que ese analista veía; perder la de un administrador de dominio cuesta toda la organización.

Se tiende a pensar que las cuentas privilegiadas están en el directorio y nada más. Viven en todas partes donde algo se administra: el directorio, el sistema operativo de cada servidor (la cuenta integrada de administración local), la base de datos (la cuenta propietaria del esquema), los equipos de red, la suscripción en la nube, las aplicaciones y las cuentas de servicio que corren tareas automáticas. En la tabla cuentas_privilegiadas, la columna sistema dice dónde vive cada una y tipo dice qué clase de cuenta es: de persona, de servicio, compartida o integrada de fábrica en el sistema.

Lee en el inventario las cuentas con privilegio de administrador de dominio. Son pocas porque cada una es una llave maestra. Dos son de personas, que firman con su nombre lo que hacen. La tercera no es de nadie en particular: es una cuenta que un proceso usa solo, sin que haya una persona frente a la pantalla. Eso no la hace ilegítima, pero sí obliga a preguntar quién responde por ella y quién la vigila.

Una cuenta privilegiada sin titular no tiene a quién preguntarle si sigue haciendo falta, ni quién la rote, ni quién conteste si hace algo extraño. En el inventario, la columna titular dice «sin responsable» cuando nadie responde por ella. Busca la cuenta con privilegios que está en ese caso.

Las cuentas de servicio, las compartidas y las integradas de fábrica son las que más se olvidan: no tienen una persona que cambie de puesto o se vaya y las haga saltar en una revisión de recursos humanos. Por eso conviene saber cuántas hay. Cuenta las cuentas privilegiadas cuyo tipo no es «persona».