Ley de mínimos privilegios

Ley de mínimos privilegios

Principio del Mínimo Privilegio (PoLP)

El principio del mínimo privilegio (PoLP) hace referencia a un concepto de seguridad

de la información en que se da a un usuario los niveles (o permisos) de acceso
mínimos necesarios para desempeñar sus funciones laborales.

En general, el principio del mínimo privilegio se considera una práctica óptima de

ciberseguridad y es un paso fundamental para proteger el acceso con privilegios a
datos y activos de gran valor.

El principio del mínimo privilegio se extiende más allá del acceso humano. El modelo
puede aplicarse a aplicaciones, sistemas o dispositivos conectados que requieren
privilegios o permisos para realizar una tarea necesaria. La aplicación de privilegios
mínimos garantiza que la herramienta no humana tiene el acceso necesario, y nada
más.

La aplicación efectiva del principio del mínimo privilegio requiere una forma de
proteger y gestionar de forma centralizada las credenciales con privilegios, junto con
controles flexibles que equilibren los requisitos de ciberseguridad y cumplimiento con
las necesidades operativas y de los usuarios finales.

¿Qué es la acumulación de privilegios?

Cuando las organizaciones optan por revocar todos los derechos administrativos de
los usuarios empresariales, el equipo de TI a menudo tendrá que volver a conceder
privilegios para que los usuarios puedan realizar determinadas tareas. Por ejemplo,
muchas aplicaciones heredadas y desarrolladas internamente que se utilizan en los
entornos de TI de las empresas requieren privilegios para su ejecución, al igual que
muchas aplicaciones comerciales disponibles en el mercado (COTS). Para que los
usuarios de la empresa puedan ejecutar estas aplicaciones autorizadas y necesarias,
el equipo de TI tiene que devolver los privilegios de administrador local a los usuarios.
Una vez que se vuelven a conceder los privilegios, rara vez se revocan y, con el
tiempo, las organizaciones pueden acabar volviendo a tener muchos usuarios con
derechos de administrador local. Esta «acumulación de privilegios» reabre la brecha
de seguridad relacionada con los derechos administrativos excesivos y hace que las
organizaciones, que probablemente creen estar bien protegidas, sean más
vulnerables a las amenazas. Mediante la aplicación de controles de acceso con
privilegios mínimos, las organizaciones pueden contribuir a frenar la «acumulación de
privilegios» y garantizar que los usuarios humanos y no humanos solo tengan los
niveles de acceso mínimos necesarios.

¿Por qué es importante el principio del mínimo privilegio (PoLP)?

Reduce la superficie expuesta a ciberataques. La mayoría de los ataques avanzados

de hoy en día se basan en la explotación de credenciales con privilegios. Al limitar los
privilegios de superusuario y administrador (que proporcionan a los administradores
de TI un acceso sin restricciones a los sistemas de destino), la aplicación del mínimo
privilegio ayuda a reducir la superficie total de los ciberataques.

Detiene la propagación del malware. Al aplicar el mínimo privilegio en los endpoints,

los ataques de malware (como los ataques de inyección de código SQL) no pueden
utilizar privilegios elevados para aumentar el acceso y moverse lateralmente a fin de
instalar o ejecutar malware o dañar el equipo.

Mejora la productividad del usuario final. Eliminar los derechos de administrador local
de los usuarios de la empresa ayuda a reducir el riesgo, pero permitir la elevación de
los privilegios just-in-time, en función de políticas, ayuda a mantener la productividad
de los usuarios y reduce al mínimo las llamadas al servicio de asistencia informática.

Ayuda a agilizar el cumplimiento y las auditorías. Muchas políticas internas y

requisitos reglamentarios exigen que las organizaciones apliquen el principio del
mínimo privilegio en las cuentas con privilegios para evitar daños maliciosos o
involuntarios a los sistemas críticos. La aplicación de privilegios mínimos ayuda a las
organizaciones a demostrar el cumplimiento normativo con un registro de auditoría
completo de las actividades con privilegios.

Cómo implementar el principio del mínimo privilegio en una organización

Para aplicar el principio del mínimo privilegio, las organizaciones suelen adoptar una o
varias de las siguientes medidas, como parte de una estrategia más amplia de
defensa a fondo en materia de ciberseguridad:

·       Auditar el entorno completo para localizar cuentas con privilegios (como

contraseñas, claves SSH, hashes de contraseña y claves de acceso) a nivel local, en
la nube, en los entornos de DevOps y en los endpoints.

·       Eliminar los privilegios innecesarios de administrador local y asegurar que todos

los usuarios humanos y no humanos solo tengan los privilegios necesarios para
realizar su trabajo.

·       Separar las cuentas de administrador de las cuentas estándar y aislar las

sesiones de usuarios con privilegios.

·       Proporcionar credenciales de cuentas de administrador con privilegios a una

bóveda digital para comenzar a proteger y administrar esas cuentas.

·       Rotar todas las contraseñas de administrador inmediatamente después de cada

uso para invalidar cualquier credencial que un software de registro de pulsaciones de
teclas pueda haber capturado y para mitigar el riesgo de un ataque pass-the-hash.

·       Supervisar continuamente toda la actividad relacionada con las cuentas de

administrador para permitir la rápida detección y alerta de actividades anómalas que
puedan indicar un ataque en curso.
·       Habilitar la elevación del acceso just-in-time, lo que permite a los usuarios
acceder a cuentas con privilegios o ejecutar comandos con privilegios de forma
temporal y según sea necesario.

El principio del mínimo privilegio es un componente fundamental de los marcos de

confianza cero. La confianza cero, basada en la creencia de que las organizaciones
no deben confiar automáticamente en nada ni dentro ni fuera de su perímetro, exige
que todo lo que intente conectarse a los sistemas de una organización debe
verificarse para que se le conceda acceso. A medida que muchas organizaciones
aceleran sus estrategias de transformación digital, pasan de los enfoques
tradicionales de seguridad del perímetro al marco de confianza cero para proteger sus
redes más sensibles.