Lección 12 de 16 · Nivel 3: Avanzado
Gestión de identidades y accesos: mínimo privilegio
- ⏱ 13 min de lectura
- ❓ 4 preguntas de repaso
- ✍️ Ejercicio con solución
En esta lección
- Distinguir identificación, autenticación, autorización y auditoría.
- Aplicar el mínimo privilegio, la necesidad de saber y la separación de funciones.
- Elegir entre control de acceso por dueño, por roles o por atributos, y armar una matriz de roles.
- Gestionar altas, cambios y bajas de personal sin dejar accesos olvidados.
- Proteger las cuentas de administrador y hacer una revisión de accesos con números.
La gestión de identidades y accesos (IAM, por sus siglas en inglés) responde a una pregunta sencilla: ¿quién puede acceder a qué, y por qué? Si esa respuesta no está clara, aparecen los problemas de siempre: exempleados que siguen entrando, practicantes con permisos de administrador y contraseñas compartidas que nadie sabe quién usa. Hoy que casi todo está en la nube, la identidad es el nuevo perímetro: proteger las cuentas es proteger la empresa. En esta lección aprenderás los principios, los modelos y la rutina de revisión que lo mantienen en orden.
- Conceptos clave
- Principios
- Modelos y matriz de roles
- Ciclo de vida de las cuentas
- Revisión de accesos
Los cuatro pasos de todo acceso
| Paso | Pregunta | Ejemplo |
|---|---|---|
| Identificación | ¿Quién dices ser? | Escribes tu usuario o tu correo de trabajo |
| Autenticación | ¿Puedes demostrarlo? | Contraseña más doble factor o una passkey |
| Autorización | ¿Qué puedes hacer? | Puedes ver las facturas de tus clientes, pero no aprobar pagos |
| Auditoría (registro) | ¿Qué hiciste? | Queda constancia de que descargaste un reporte a las 18:40 |
Muchas organizaciones refuerzan la autenticación (lección 4) y se olvidan de la autorización. Pero una cuenta bien autenticada con demasiados permisos es igual de peligrosa si alguien la roba o si su dueño comete un error.
Los principios que guían los permisos
Mínimo privilegio
Cada persona, programa o servicio tiene solo los permisos que necesita para su trabajo, y nada más.
Ejemplo: el asistente puede registrar facturas, pero no borrar el historial contable.Necesidad de saber
Aunque alguien tenga un cargo alto, solo accede a la información que necesita para una tarea concreta.
Ejemplo: un socio no necesita ver las planillas de sueldos de otra área.Separación de funciones
Ninguna persona controla sola un proceso crítico de principio a fin.
Ejemplo: quien registra un proveedor nuevo no es quien aprueba su primer pago.Denegar por defecto
Si un permiso no está asignado de forma explícita, no existe.
Ejemplo: una carpeta nueva nace privada y se comparte con quien la necesita.1. En una pyme, la misma persona puede dar de alta proveedores, registrar sus facturas y aprobar los pagos. ¿Qué principio se incumple?
Una sola persona controla todo el proceso de pago, lo que facilita tanto el fraude interno como el éxito de un fraude externo. Separar el alta de proveedores de la aprobación de pagos introduce un segundo par de ojos.
Modelos de control de acceso
- Facilidad
- ●●●●
- Control
- ●●●●
- Ejemplo
- Compartir una carpeta de Drive con quien tú quieras.
- Facilidad
- ●●●●
- Control
- ●●●●
- Ejemplo
- Todo "Asistente contable" recibe los mismos accesos al entrar.
- Facilidad
- ●●●●
- Control
- ●●●●
- Ejemplo
- Acceso a la banca solo desde equipos de la empresa y en horario laboral.
Para la mayoría de las pymes, el modelo por roles es el punto de partida ideal, con algunas reglas de contexto en los sistemas críticos. Se resume en una matriz de roles. Esta es la de un estudio contable de Lima con 14 personas (L = lectura, E = edición, A = administración, — = sin acceso):
| Rol | Software contable | Planillas | Banca en línea | Carpetas de clientes | Consola de correo |
|---|---|---|---|---|---|
| Socio | L | L | Aprobar pagos | L | — |
| Contador senior | E | — | Registrar pagos | E (sus clientes) | — |
| Asistente contable | E | — | — | E (sus clientes) | — |
| Practicante | L | — | — | L (clientes asignados) | — |
| Recursos Humanos | — | E | — | — | — |
| Soporte TI (externo) | A (cuenta separada) | — | — | — | A (cuenta separada) |
Fíjate en la separación de funciones en la banca: el contador registra el pago y el socio lo aprueba. Y en que el soporte de TI administra los sistemas, pero no ve los datos de los clientes.
El ciclo de vida de una cuenta: altas, cambios y bajas
La mayoría de los permisos excesivos no se dan a propósito: se acumulan. Alguien cambia de área y conserva los accesos anteriores; un practicante se va y nadie avisa a TI. Un proceso simple, vinculado a Recursos Humanos, lo evita:
- AltaAccesos según el rol, desde el primer díaRR. HH. avisa con anticipación; TI crea la cuenta con los permisos del rol, activa el doble factor y entrega el equipo configurado. Nada de "usa la cuenta de tu compañero mientras tanto".
- Cambio de puestoSe quitan los permisos anterioresAl cambiar de rol se asignan los nuevos y se retiran los que ya no corresponden. Es el paso que más se olvida.
- BajaAccesos cerrados el mismo díaDesactivar cuentas, revocar sesiones abiertas en celulares, cambiar contraseñas compartidas que conocía, recuperar equipos y transferir sus archivos a su jefe.
- Cada trimestreRevisión de accesosCada jefe confirma que su equipo tiene solo los permisos necesarios. Lo que nadie justifica, se retira.
Si una persona sale en malos términos, coordina con RR. HH. para desactivar sus accesos en el mismo momento en que se le comunica la decisión, no días después. Revisa también accesos menos visibles: redes sociales de la empresa, cuentas de proveedores, el panel de la tienda online y el correo reenviado a cuentas personales.
2. Una analista pasa del área de Cobranzas a Marketing. ¿Qué debe hacer TI con sus permisos?
Acumular permisos en cada cambio de puesto es la forma más común de terminar con cuentas "todopoderosas". Si necesita apoyar a Cobranzas, se le da un permiso temporal y justificado.
Cuentas privilegiadas: las llaves maestras
Las cuentas de administrador pueden instalar programas, crear usuarios, cambiar configuraciones y borrar copias de seguridad. Son el objetivo principal de cualquier atacante, por lo que merecen reglas especiales:
- Cuentas separadas: quien administra usa una cuenta normal para el correo y la navegación, y una cuenta de administrador solo para tareas de administración.
- Pocas y nominales: cada administrador con su propia cuenta, nunca un "admin" compartido.
- Doble factor resistente al phishing: llaves FIDO2 o passkeys, como viste en la lección 4.
- Acceso justo a tiempo: en organizaciones más grandes, los privilegios se activan por un tiempo limitado y con aprobación, mediante herramientas de gestión de accesos privilegiados (PAM).
- Cuenta de emergencia: una cuenta de administrador de respaldo, con credenciales guardadas en lugar seguro, para cuando falla todo lo demás. Su uso genera una alerta.
- Cuentas de servicio: las que usan programas para conectarse entre sí también tienen dueño, permisos mínimos y credenciales que se renuevan.
Inicio de sesión único (SSO)
Con el inicio de sesión único, las personas usan una sola identidad corporativa para entrar a muchas aplicaciones. Simplifica la vida (una contraseña fuerte, un doble factor) y, sobre todo, la baja: al desactivar una cuenta, se cierran todos los accesos a la vez. A cambio, esa identidad se vuelve muy valiosa, así que debe tener el doble factor más fuerte posible y alertas ante inicios de sesión inusuales.
Caso: la revisión de accesos del estudio contable
Luis exportó las cuentas de todos los sistemas a una hoja de cálculo y pidió a cada responsable que confirmara cuáles seguían siendo necesarias. Encontró 7 cuentas de exempleados aún activas, 5 cuentas con privilegios excesivos y 3 cuentas compartidas: 15 problemas en 52 cuentas. Además, había 9 cuentas con permisos de administrador. Tras corregirlo, quedaron 2.
15 de 52 cuentas (28,8%) tenían algún problema; las cuentas de administrador se redujeron un 77,8%.
3. En otra revisión, una empresa encuentra 6 cuentas con problemas entre 40 cuentas revisadas. ¿Qué porcentaje representan?
6 ÷ 40 = 0,15, es decir, 15%. Ese indicador, medido cada trimestre, muestra si el proceso de altas y bajas funciona.
Errores comunes
Dar permisos de administrador "para que no moleste pidiendo cosas".
Atiende las solicitudes concretas o da permisos temporales y justificados.
Cuentas genéricas como "ventas@" o "caja1" que usan varias personas para entrar a sistemas.
Una cuenta por persona; los buzones compartidos se acceden con la identidad propia.
Desactivar la cuenta del exempleado semanas después.
Baja el mismo día, coordinada con Recursos Humanos.
Revisar accesos solo cuando hay un incidente.
Revisión trimestral, con el responsable de cada área firmando.
4. ¿Cuál es la principal ventaja de seguridad del inicio de sesión único (SSO) al dar de baja a un empleado?
Con SSO la baja es un único paso. Por eso mismo, esa identidad central debe protegerse con el doble factor más fuerte disponible.
Ejercicio práctico
Una ferretería en Arequipa tiene 9 personas: el dueño, una administradora, dos vendedores, un cajero, un almacenero, un repartidor, una contadora externa y un técnico de TI externo. Usan: sistema de ventas, inventario, banca en línea, correo y la cuenta de la tienda en redes sociales. Hoy todos usan el usuario "ferreteria" en el sistema de ventas y la administradora aprueba y ejecuta todos los pagos.
- Propón tres cambios para aplicar el mínimo privilegio y la separación de funciones.
- ¿Qué harías el día que se vaya el repartidor?
Ver solución
-
- Cuentas individuales en el sistema de ventas para cada vendedor y el cajero, con roles distintos: los vendedores registran ventas; solo el cajero cobra y anula con autorización; nadie más que el dueño cambia precios.
- Separación en la banca: la administradora registra los pagos y el dueño los aprueba. La contadora externa tiene acceso de solo lectura a los movimientos.
- Accesos mínimos: el almacenero solo accede a inventario; el repartidor solo ve los pedidos a entregar; el técnico externo usa una cuenta de administrador separada, con doble factor, y no accede a la banca.
- El mismo día: desactivar su cuenta de pedidos, cerrar las sesiones abiertas en su celular, retirarlo de los grupos de mensajería de trabajo con datos de clientes, cambiar cualquier clave compartida que conociera (por ejemplo, la del Wi-Fi o la de un portón) y recuperar los equipos o tarjetas de acceso que tuviera.
Resumen
- Todo acceso pasa por identificación, autenticación, autorización y auditoría; no basta con autenticar bien.
- Mínimo privilegio, necesidad de saber, separación de funciones y denegar por defecto guían los permisos.
- El control por roles, resumido en una matriz, es el mejor punto de partida para una pyme.
- Altas con permisos del rol, cambios que retiran lo anterior y bajas el mismo día evitan la acumulación de accesos.
- Las cuentas de administrador deben ser pocas, nominales, separadas y con doble factor resistente al phishing, y los accesos se revisan cada trimestre.
En la próxima lección: Monitoreo, registros (logs) y detección de amenazas. Aprenderás qué registrar, cómo centralizar los registros y cómo convertir miles de eventos en unas pocas alertas útiles.
Crea tu cuenta en 30 segundos, marca tus lecciones y descarga el certificado al terminar.