La gestión de accesos privilegiados no comienza al comprar una plataforma. Empieza cuando la empresa puede explicar quién tiene capacidad para cambiar configuraciones, crear usuarios, detener respaldos o acceder a información sensible, para qué necesita ese poder y durante cuánto tiempo. Una cuenta administrativa sin dueño claro puede convertir un error, una credencial robada o una relación laboral terminada en un problema de alcance mayor.
Para gerencia, TI y seguridad, la decisión relevante no es si existen administradores: siempre serán necesarios. Lo importante es evitar que los privilegios sean permanentes, compartidos o más amplios de lo que exige cada función, y conservar evidencia suficiente para revisar su uso.
Gestión de accesos privilegiados: el riesgo no es solo la contraseña
Activar autenticación multifactor protege el ingreso, pero no decide qué puede hacer la persona una vez autenticada. Tampoco resuelve una cuenta genérica utilizada por varios técnicos ni elimina permisos que sobrevivieron a un cambio de cargo. Por eso, la gestión de accesos privilegiados complementa la autenticación: gobierna el alcance, la duración y la responsabilidad asociada a cada permiso crítico.
El término incluye más que la cuenta “administrador”. Abarca roles elevados en servicios de nube, consolas de respaldo, directorios, hipervisores, equipos de red, bases de datos y aplicaciones de negocio. También incluye cuentas de servicio que ejecutan procesos sin intervención humana. Su criticidad depende de lo que permiten cambiar o extraer, no del cargo de quien las utiliza.
Qué debería poder demostrar la empresa
Un inventario útil relaciona cada acceso con una identidad, un responsable, un propósito, los activos alcanzados y una fecha de revisión. Si se trata de una cuenta técnica, además debe identificar el proceso que depende de ella y quién autoriza sus cambios. Así es posible distinguir una necesidad operativa de un permiso heredado que nadie se atreve a retirar.
La identidad administrativa debería estar separada de la cuenta de uso cotidiano. Leer correo o navegar con privilegios elevados amplía innecesariamente la exposición. Las cuentas de emergencia también requieren un dueño, condiciones de activación, custodia y revisión posterior; llamar “break glass” a una contraseña compartida no la convierte en un control.
Menos privilegios permanentes, más decisiones explícitas
El NIST Cybersecurity Framework 2.0 plantea que los permisos deben administrarse y revisarse considerando mínimo privilegio y separación de funciones. El catálogo NIST SP 800-53 desarrolla estos principios en sus controles de acceso, mientras los Controles 5 y 6 de CIS separan la administración de cuentas de la asignación y revocación de privilegios.
En la práctica, esto favorece permisos aprobados cerca del momento de uso, con alcance y vencimiento definidos. No todas las empresas necesitan automatizar de inmediato el acceso justo a tiempo, pero sí deberían saber cuáles privilegios permanecen activos, por qué y hasta cuándo. Una excepción sin fecha de cierre termina convirtiéndose en la configuración normal.
También conviene separar quien solicita, quien aprueba y quien revisa, sobre todo en cambios de alto impacto. En equipos pequeños, la separación completa puede no ser viable. Allí la compensación razonable es dejar una aprobación explícita y una revisión independiente posterior, en vez de fingir que dos funciones recaídas en la misma persona son controles distintos.
La trazabilidad empieza antes del registro
Los registros pierden valor cuando varias personas usan la misma cuenta administrativa. Aunque la plataforma conserve una hora y una dirección IP, la organización no podrá atribuir la acción con precisión. Una identidad individual para cada operador, junto con el registro del permiso concedido, permite conectar la solicitud, la aprobación y la actividad realizada.
Esto no significa guardar todo indefinidamente. El artículo sobre logs de seguridad explica que primero deben definirse las preguntas que la empresa necesita responder. En accesos privilegiados, suelen ser quién obtuvo el permiso, sobre qué activo, con qué aprobación, qué acción crítica ejecutó y cuándo terminó la autorización.
Cuándo tiene sentido una solución PAM
Una plataforma de gestión de accesos privilegiados puede custodiar secretos, rotar credenciales, aprobar sesiones y registrar actividades. Su valor aumenta cuando aplica un proceso ya definido. Si las cuentas críticas siguen sin inventario, las cuentas de servicio carecen de dueño o nadie conoce las dependencias, la herramienta automatizará solo una parte del problema.
Antes de seleccionar tecnología, conviene revisar si la organización conoce sus cuentas y roles críticos, puede asociarlos a responsables, ha definido el alcance necesario y dispone de un mecanismo de emergencia. Después será posible comparar capacidades de PAM contra brechas concretas, en lugar de evaluar funciones aisladas de un catálogo.
Qué revisar primero
La prioridad debería seguir el impacto de un uso indebido. Normalmente merece atención temprana el proveedor de identidad, la consola de nube, el directorio corporativo, los respaldos, la virtualización, los equipos de red y las cuentas de servicio con alcance amplio. La segmentación de red limita recorridos técnicos; el gobierno de privilegios reduce qué acciones puede autorizar una identidad comprometida. Ambos controles responden preguntas distintas.
Una revisión inicial puede tomar una muestra de cambios recientes y reconstruir quién los solicitó, aprobó, ejecutó y verificó. Las brechas encontradas permiten ajustar la política de seguridad de la información con evidencia real. La auditoría de seguridad ayuda a establecer ese alcance y una hoja de ruta priorizada. El objetivo no es eliminar la administración, sino hacer que cada privilegio poderoso sea necesario, temporal y atribuible.
