TENDENCIAS | Noticias | 19 AGO 2016

Una filtración de datos no debe determinar la gestión de cuentas privilegiadas

La Gestión de Cuentas Privilegiadas, también conocida como gestión de identidades privilegiadas o gestión de accesos privilegiados, se centra en controlar y auditar el acceso a las cuentas de administrador o cuentas privilegiadas.
Florian Malecki de Dell Security
Florian Malecki de Dell Security

Las empresas suelen concentrar sus estrategias de gestión de identidades y accesos en autorizar, mantener, controlar y dirigir el acceso de los usuarios finales a sus recursos críticos de negocio, y con demasiada frecuencia, cometen errores a la hora de aplicar un grado de diligencia parecido en su estrategia de cuentas privilegiadas, uno de sus activos más críticos para el negocio. Las cuentas privilegiadas ofrecen un acceso ilimitado a los sistemas y a los datos, haciendo que sean muy atractivas para los piratas informáticos. Por lo tanto, gestionar las cuentas privilegiadas de un modo erróneo aumenta las posibilidades de una violación de la seguridad.

¿Qué es la Gestión de Cuentas Privilegiadas?

La Gestión de Cuentas Privilegiadas, también conocida como gestión de identidades privilegiadas o gestión de accesos privilegiados, se centra en controlar y auditar el acceso a las cuentas de administrador o cuentas privilegiadas. Estas tienen los derechos necesarios para cumplir con las tareas administrativas como configurar las cuentas, restaurar las contraseñas o instalar las actualizaciones de software. Pero gestionarlas presenta sus propios retos.

¿Cuáles son los retos que presentan las cuentas privilegiadas?

En primer lugar, suele haber un gran número de cuentas privilegiadas en las empresas. Estas ofrecen acceso a prácticamente todos los recursos, tanto digitales como de infraestructura dentro del entorno, incluyendo cortafuegos, bases de datos, routers, switches o aplicaciones. En segundo lugar, numerosos individuos necesitan acceso a estas cuentas, como los administradores, los miembros de los servicios de asistencia, los desarrolladores, e incluso las aplicaciones y los scripts, y como consecuencia muchas contraseñas se acaban dispersando o incluso siendo compartidas entre diferentes usuarios.

Ahí está el problema. Cuando las cuentas privilegiadas se comparten, se diluye la responsabilidad individual, lo que dificulta el rastreo de las actividades de cada uno de los administradores. El peligro puede venir desde trabajadores descontentos o ciber-delincuentes que han logrado piratear una cuenta privilegiada. Así, no solo no hay forma de determinar la responsabilidad por los daños causados en una cuenta privilegiada cuando esta es compartida por varios administradores diferentes, sino que además permite que aquellos que quieran causar daños puedan editar los registros o cubrir su rastro de algún otro modo.

¿Por qué las filtraciones son un criterio pobre para determinar su gestión de cuentas privilegiadas y qué enfoque debería adoptar?

Las cuentas privilegiadas son imprescindibles. El personal de TI, e incluso algunos proveedores de servicios externos, deben tener acceso suficiente a los sistemas que gestionan. Sin embargo, como punto débil ante las violaciones de seguridad, tanto las intencionadas, como las accidentales, estas cuentas son especialmente sensibles. Las empresas deben estar al tanto de los riesgos de seguridad a los que se enfrentan, adoptando una estrategia proactiva de gestión de cuentas privilegiadas, en lugar de una estrategia reactiva tras cada violación. Es necesaria una solución para reducir los riesgos inherentes a las cuentas privilegiadas, pero teniendo en cuenta las responsabilidades y las necesidades del personal de TI.

Para gestionar de una manera eficaz las cuentas privilegiadas, las empresas deben, en primer lugar, implantar un modelo en tres fases para asegurar los accesos privilegiados. Si cada proceso adoptado por las empresas llega a convertirse en un “procedimiento rutinario”, las cuentas privilegiadas estarán protegidas incluso de las amenazas más imaginativas que intenten acceder a la red. 

Crear un plan estratégico

Las empresas se enfrentan ahora a reducciones en los presupuestos, mientras que los proyectos siguen en marcha, por lo que las empresas no tienen ni el tiempo ni los recursos necesarios para investigar, probar y poner en marcha distintas formas de resolver el problema de las cuentas privilegiadas. Abordar los problemas de una forma adecuada desde el principio, es esencial para garantizar el éxito del proyecto, algo que se puede hacer con un plan. Dedicar tiempo a crear un plan estratégica para gestionar las cuentas privilegiadas ayudará a eliminar obstáculos y a evitar posibles pasos en falso en el proceso. Además, un buen plan permitirá a las empresas evaluar de una manera más eficaz a los proveedores y las propias soluciones implantadas, respecto a los retos que puedan surgir de las cuentas privilegiadas.

El plan estratégico debe identificar todos los actores principales, y definir claramente el área de responsabilidad de cada grupo. Y lo más importante, el plan debe identificar las funciones y las responsabilidades de los usuarios dentro de la organización que necesitan acceso a las cuentas privilegiadas.

Determinar los requisitos para funciones y responsabilidades 

Después de decidir las funciones y responsabilidades para aquellos que necesitan acceder a las cuentas privilegiadas, las empresas deben especificar los requisitos individualmente. Para ello, las empresas deberían registrar algunos ejemplos de uso que rastreen el periodo de vigencia de una cuenta de usuario, desde la provisión hasta el fin de dicha provisión. Algunos ejemplos:

  • Incorporación de un nuevo usuario
    • ¿Cómo se autoriza el acceso?
    • ¿Dónde (en qué sistemas) se integra y se guarda la información de ese usuario?
  • Cambio interno de puesto
    • ¿Cómo se determinan y se conceden los nuevos requisitos de acceso?
    • ¿Cómo eliminan los antiguos requisitos de acceso?
  • Recertificación de acceso
    • ¿Cómo se revisan regularmente los derechos a acceso para comprobar su exactitud?
  • Baja de un usuario
    • ¿Quién inicia el proceso de baja de los accesos?
    • ¿Quién asegura que el proceso de baja se ha completado?

Estos ejercicios permiten a las empresas hacer dos cosas que son críticas para construir una estrategia de gestión de cuentas privilegiadas consistente, como son determinar los actores clave, e identificar los requisitos sobre los que se puede construir un proyecto de gestión de cuentas privilegiadas.

Gestión de segura de las cuentas privilegiadas en tres pasos

Una vez que se haya documentado el plan, las empresas deben poner en marcha varios controles clave para asegurar las cuentas privilegiadas. En primer lugar, solo se debe permitir el acceso a los que lo necesiten, y cuando se necesite obtener acceso, este se debe otorgar de una manera segura y eficaz. En segundo lugar, se deben implementar accesos con privilegios restringidos, de forma que los usuarios solo puedan tener acceso a lo que necesitan. Por último, las empresas deben registrar y monitorizar todas las actividades relacionadas con las cuentas privilegiadas. 

El artículo ha sido realizado por Florian Malecki, international product marketing director, Dell Security.

Contenidos recomendados...

Comentar
Para comentar, es necesario iniciar sesión
Se muestran 0 comentarios
X

Uso de cookies

Esta web utiliza cookies técnicas, de personalización y análisis, propias y de terceros, para facilitarle la navegación de forma anónima y analizar estadísticas del uso de la web. Consideramos que si continúa navegando, acepta su uso. Obtener más información