Gestión de accesos privilegiados: el control más crítico del ENS

Por qué los accesos privilegiados son el vector principal

Según datos del CCN-CERT y de los principales fabricantes de seguridad, más del 70% de los incidentes graves analizados en organizaciones del sector público y privado tienen como elemento común el abuso de credenciales privilegiadas. En muchos casos no se trata de credenciales robadas mediante ataques sofisticados: son contraseñas débiles o repetidas en cuentas de administrador, cuentas de servicio con permisos excesivos nunca revisados, o cuentas de exadministradores que nunca se desactivaron.

La lógica del atacante es directa: en lugar de escalar privilegios paso a paso desde una cuenta de usuario sin privilegios, busca directamente cuentas privilegiadas mediante técnicas de password spraying, phishing dirigido a administradores o movimiento lateral tras una primera intrusión. Una vez que controla una cuenta privilegiada, el atacante tiene acceso a prácticamente todo.

Control ENS op.acc.5: gestión de accesos privilegiados

El control op.acc.5 del Real Decreto 311/2022 exige que las cuentas con privilegios especiales reciban un tratamiento diferenciado respecto a las cuentas de usuario estándar. Los requisitos escalan según la categoría del sistema:

• Categoría BÁSICA: identificación y control de las cuentas con privilegios especiales, separación de las cuentas privilegiadas de las cuentas de uso diario de los administradores.
• Categoría MEDIA: además de lo anterior, registro de actividad de las cuentas privilegiadas, revisión periódica de los privilegios asignados y procedimiento formal de concesión y revocación.
• Categoría ALTA: monitorización y registro de las sesiones privilegiadas, restricción de los entornos desde los que se puede usar una cuenta privilegiada y, en la práctica, implementación de soluciones PAM o equivalentes.

ISO 27001:2022 control 8.2: derechos de acceso privilegiado

ISO 27001:2022 trata este aspecto en el control 8.2 del Anexo A, que exige la asignación y uso de derechos de acceso privilegiado de forma restringida y controlada. Los elementos clave son: proceso formal de autorización para conceder acceso privilegiado, revisiones periódicas de los privilegios otorgados, prohibición de usar cuentas privilegiadas para actividades cotidianas, y registro de todos los accesos privilegiados.

Principio de mínimo privilegio: definición y aplicación práctica

El principio de mínimo privilegio establece que cada cuenta, proceso o servicio debe tener únicamente los permisos estrictamente necesarios para realizar su función, y nada más. En la práctica, su aplicación implica revisar periódicamente si los privilegios asignados siguen siendo necesarios y revocar los que ya no lo son. Este principio es sencillo de enunciar pero difícil de mantener: los privilegios tienden a acumularse con el tiempo (privilege creep), porque es más fácil conceder acceso que revocarlo.

Inventario de cuentas privilegiadas: el primer paso obligatorio

Antes de gestionar las cuentas privilegiadas, hay que saber cuáles existen. El inventario debe incluir todas las cuentas con permisos elevados, independientemente de su tipo:

• Cuentas de administrador local en servidores y estaciones de trabajo.
• Cuentas de dominio con permisos de Domain Admin o equivalentes.
• Cuentas de servicio que ejecutan procesos con privilegios elevados.
• Cuentas de acceso a bases de datos con permisos de DBA o equivalentes.
• Claves SSH para acceso a servidores Linux/Unix.
• Cuentas IAM en cloud con permisos de administrador o de roles críticos (iam:*, ec2:*, s3:*).
• Cuentas de aplicación con acceso a APIs privilegiadas.

Para muchas organizaciones, este inventario revela un número de cuentas privilegiadas mucho mayor del esperado. No es infrecuente encontrar decenas de cuentas de administrador local con la misma contraseña en toda la infraestructura, o cuentas de servicio con permisos de Domain Admin que nadie recuerda para qué se crearon.

Qué es PAM y para qué sirve

PAM (Privileged Access Management) es la categoría de soluciones diseñadas específicamente para gestionar las cuentas privilegiadas. Sus funcionalidades principales son: bóveda de credenciales (almacenamiento cifrado de contraseñas privilegiadas con rotación automática), grabación de sesiones (registro completo de lo que hace un administrador durante una sesión privilegiada), control de acceso justo a tiempo (just-in-time), y alertas sobre comportamientos anómalos en sesiones privilegiadas. Soluciones como CyberArk, BeyondTrust o Delinea son referencias del mercado, aunque existen alternativas de menor coste para organizaciones más pequeñas.

Rotación de contraseñas privilegiadas

Las contraseñas de las cuentas privilegiadas deben rotarse con frecuencia, especialmente las de cuentas compartidas o de servicio. La frecuencia recomendada varía según el nivel de criticidad: para cuentas de Domain Admin o equivalentes, la rotación trimestral es un mínimo razonable; para cuentas de servicio en sistemas críticos, la rotación puede ser mensual o incluso más frecuente si la herramienta PAM lo automatiza sin impacto operativo. Después de cualquier incidente de seguridad, la rotación de todas las contraseñas privilegiadas es obligatoria.

MFA en cuentas privilegiadas: obligatorio en la práctica

El segundo factor de autenticación (MFA) en cuentas privilegiadas ya no es una opción avanzada: es un control básico que cualquier auditor esperará encontrar en sistemas de categoría MEDIA o superior. La implementación puede realizarse mediante tokens TOTP (aplicaciones de autenticador), tokens hardware, o sistemas de autenticación avanzada integrados en la solución PAM. La clave es que el MFA esté activo para cualquier acceso privilegiado, incluyendo los accesos remotos mediante VPN o RDP.

Just-in-time access: acceso elevado bajo demanda

El modelo just-in-time access parte de una premisa diferente al modelo tradicional: en lugar de asignar permisos privilegiados de forma permanente, se conceden temporalmente cuando el administrador los necesita para una tarea concreta, y se revocan automáticamente al finalizar. Esto reduce drásticamente la ventana de exposición: una cuenta privilegiada que solo tiene permisos durante el tiempo necesario para realizar una tarea es mucho menos valiosa para un atacante que una cuenta con privilegios permanentes. Las principales plataformas cloud implementan este modelo de forma nativa (AWS IAM roles with session, Azure PIM), y las soluciones PAM lo ofrecen también para sistemas on-premise.

Cómo cumplir op.acc.5 sin PAM comercial

Para organizaciones de categoría BÁSICA o MEDIA con recursos limitados, es posible alcanzar un nivel de cumplimiento razonable de op.acc.5 sin invertir en una solución PAM comercial. Las medidas mínimas viables incluyen: inventario documentado de todas las cuentas privilegiadas con responsable asignado, uso de una bóveda de contraseñas de código abierto (como Bitwarden Business o KeePass con acceso controlado) para las credenciales privilegiadas, habilitación de MFA para todos los accesos administrativos, separación de las cuentas de uso diario y las cuentas administrativas (cada administrador tiene dos cuentas: una normal para el trabajo diario y una privilegiada solo para tareas de administración), revisión semestral del inventario de cuentas y de los privilegios asignados, y registro de las actividades de administración mediante los logs nativos de los sistemas operativos y plataformas.