El principio del mínimo privilegio (PoLP) hace referencia a un concepto de seguridad de la información en que se da a un usuario los niveles (o permisos) de acceso mínimos necesarios para desempeñar sus funciones laborales.
En general, el principio del mínimo privilegio se considera una práctica óptima de ciberseguridad y es un paso fundamental para proteger el acceso con privilegios a datos y activos de gran valor.
El principio del mínimo privilegio se extiende más allá del acceso humano. El modelo puede aplicarse a aplicaciones, sistemas o dispositivos conectados que requieren privilegios o permisos para realizar una tarea necesaria. La aplicación de privilegios mínimos garantiza que la herramienta no humana tiene el acceso necesario, y nada más.
La aplicación efectiva del principio del mínimo privilegio requiere una forma de proteger y gestionar de forma centralizada las credenciales con privilegios, junto con controles flexibles que equilibren los requisitos de ciberseguridad y cumplimiento con las necesidades operativas y de los usuarios finales.
¿Qué es la acumulación de privilegios?
Cuando las organizaciones optan por revocar todos los derechos administrativos de los usuarios empresariales, el equipo de TI a menudo tendrá que volver a conceder privilegios para que los usuarios puedan realizar determinadas tareas. Por ejemplo, muchas aplicaciones heredadas y desarrolladas internamente que se utilizan en los entornos de TI de las empresas requieren privilegios para su ejecución, al igual que muchas aplicaciones comerciales disponibles en el mercado (COTS). Para que los usuarios de la empresa puedan ejecutar estas aplicaciones autorizadas y necesarias, el equipo de TI tiene que devolver los privilegios de administrador local a los usuarios. Una vez que se vuelven a conceder los privilegios, rara vez se revocan y, con el tiempo, las organizaciones pueden acabar volviendo a tener muchos usuarios con derechos de administrador local. Esta «acumulación de privilegios» reabre la brecha de seguridad relacionada con los derechos administrativos excesivos y hace que las organizaciones, que probablemente creen estar bien protegidas, sean más vulnerables a las amenazas. Mediante la aplicación de controles de acceso con privilegios mínimos, las organizaciones pueden contribuir a frenar la «acumulación de privilegios» y garantizar que los usuarios humanos y no humanos solo tengan los niveles de acceso mínimos necesarios.
¿Por qué es importante el principio del mínimo privilegio (PoLP)?
- Reduce la superficie expuesta a ciberataques. La mayoría de los ataques avanzados de hoy en día se basan en la explotación de credenciales con privilegios. Al limitar los privilegios de superusuario y administrador (que proporcionan a los administradores de TI un acceso sin restricciones a los sistemas de destino), la aplicación del mínimo privilegio ayuda a reducir la superficie total de los ciberataques.
- Detiene la propagación del malware. Al aplicar el mínimo privilegio en los endpoints, los ataques de malware (como los ataques de inyección de código SQL) no pueden utilizar privilegios elevados para aumentar el acceso y moverse lateralmente a fin de instalar o ejecutar malware o dañar el equipo.
- Mejora la productividad del usuario final. Eliminar los derechos de administrador local de los usuarios de la empresa ayuda a reducir el riesgo, pero permitir la elevación de los privilegios just-in-time, en función de políticas, ayuda a mantener la productividad de los usuarios y reduce al mínimo las llamadas al servicio de asistencia informática.
- Ayuda a agilizar el cumplimiento y las auditorías. Muchas políticas internas y requisitos reglamentarios exigen que las organizaciones apliquen el principio del mínimo privilegio en las cuentas con privilegios para evitar daños maliciosos o involuntarios a los sistemas críticos. La aplicación de privilegios mínimos ayuda a las organizaciones a demostrar el cumplimiento normativo con un registro de auditoría completo de las actividades con privilegios.
Cómo implementar el principio del mínimo privilegio en su organización
Para aplicar el principio del mínimo privilegio, las organizaciones suelen adoptar una o varias de las siguientes medidas, como parte de una estrategia más amplia de defensa a fondo en materia de ciberseguridad:
- Auditar el entorno completo para localizar cuentas con privilegios (como contraseñas, claves SSH, hashes de contraseña y claves de acceso) a nivel local, en la nube, en los entornos de DevOps y en los endpoints.
- Eliminar los privilegios innecesarios de administrador local y asegurar que todos los usuarios humanos y no humanos solo tengan los privilegios necesarios para realizar su trabajo.
- Separar las cuentas de administrador de las cuentas estándar y aislar las sesiones de usuarios con privilegios.
- Proporcionar credenciales de cuentas de administrador con privilegios a una bóveda digital para comenzar a proteger y administrar esas cuentas.
- Rotar todas las contraseñas de administrador inmediatamente después de cada uso para invalidar cualquier credencial que un software de registro de pulsaciones de teclas pueda haber capturado y para mitigar el riesgo de un ataque pass-the-hash.
- Supervisar continuamente toda la actividad relacionada con las cuentas de administrador para permitir la rápida detección y alerta de actividades anómalas que puedan indicar un ataque en curso.
- Habilitar la elevación del acceso just-in-time, lo que permite a los usuarios acceder a cuentas con privilegios o ejecutar comandos con privilegios de forma temporal y según sea necesario.
El principio del mínimo privilegio es un componente fundamental de los marcos de confianza cero. La confianza cero, basada en la creencia de que las organizaciones no deben confiar automáticamente en nada ni dentro ni fuera de su perímetro, exige que todo lo que intente conectarse a los sistemas de una organización debe verificarse para que se le conceda acceso. A medida que muchas organizaciones aceleran sus estrategias de transformación digital, pasan de los enfoques tradicionales de seguridad del perímetro al marco de confianza cero para proteger sus redes más sensibles.
