¿Qué es el principio del mínimo de privilegios (POLP)?

El Principio del mínimo de privilegios (POLP) es un concepto de seguridad informática y una práctica que proporciona a los usuarios derechos de acceso limitados en función de las tareas necesarias para su puesto de trabajo. Garantiza que solo los usuarios autorizados y con identidades verificadas tengan los permisos necesarios para realizar trabajos dentro de una serie de sistemas, aplicaciones, datos y recursos.

Se considera una de las prácticas más efectivas para reforzar la posición de ciberseguridad de una organización porque permite a las organizaciones controlar y monitorizar el acceso a la red y a los datos.

Explicación del principio del mínimo de privilegios

Un buen número de brechas comienzan con accesos no autorizados a través de credenciales de acceso comprometidas. Mediante el principio del mínimo de privilegios, las organizaciones pueden limitar el alcance del acceso de los usuarios a su red, así como a sus sistemas y recursos.

Un administrador puede dar acceso con privilegios a una cuenta de usuario en función de factores como la ubicación del usuario, su puesto en la empresa y el momento en que inicia sesión.

Tipos de cuentas del principio del mínimo de privilegios

Aunque el acceso a las cuentas se determina de acuerdo con las necesidades de cada persona, hay tres tipos principales de cuentas:

Cuentas de superusuario: una cuenta de superusuario, o cuenta de administrador, tiene el nivel de privilegios más alto. Normalmente, solo los administradores tienen acceso a este tipo de cuenta, ya que son los usuarios más "fiables" dentro de una organización y necesitan altos niveles de acceso para realizar la monitorización y el mantenimiento de la red. Los privilegios de superusuario o administrador incluyen:

• Activar o desactivar otras cuentas de usuario, incluidas las cuentas con privilegios
• Eliminar datos
• Instalar y actualizar software y otras aplicaciones
• Ajustar la configuración de red

Cuentas de usuario con menos privilegios (LPU): una cuenta LPU ofrece a los usuarios los privilegios mínimos necesarios para realizar sus tareas rutinarias. Este tipo de cuenta deberían utilizarlo casi todos los empleados y casi todo el tiempo.

Cuentas de usuario invitado: un usuario invitado tiene menos privilegios que un LPU, con acceso temporal y limitado a la red de la organización. Para reducir el riesgo, las organizaciones deben limitar tanto la cantidad de invitados a los que se les permite usar su red como su acceso dentro del sistema.

¿Qué es la acumulación de privilegios?

Los empleados cambian con frecuencia de puesto de trabajo y de responsabilidades durante su permanencia en la empresa. Para realizar tareas correspondientes a sus roles actualizados, los administradores deben reevaluar o elevar los privilegios necesarios.

Aunque muchas organizaciones van sumando privilegios a las cuentas de usuario, es raro que revoquen dichos privilegios. Por eso, algunos usuarios estándar terminan teniendo privilegios de gestión que van más allá de los necesarios para hacer su trabajo. Esto acaba generando una elevación o acumulación de privilegios no supervisada. A medida que los usuarios acumulan privilegios de acceso elevados, la organización se vuelve más vulnerable a ciberataques y brechas de datos. Un adversario que posea unas credenciales de usuario comprometidas con unos derechos de acceso que se han ido acumulando a lo largo del tiempo, puede moverse lateralmente a través de la red y ejecutar amenazas como ransomware y ataques contra la cadena de suministro.

Cómo implementar el principio de mínimo de privilegios

Una implementación de POLP efectiva sin duda mejora la estrategia de ciberseguridad de una organización. Aquí tienes algunos métodos para que las organizaciones reduzcan sus riesgos mediante el principio de mínimo de privilegios:

Monitorizar endpoints: quizás la forma más sencilla de implementar POLP sea monitorizar y auditar continuamente todos los endpoints y mantener un inventario de endpoints activos. Así se reduce la superficie de ataque al eliminar endpoints no utilizados, lo que facilita que el equipo de ciberseguridad tenga visibilidad en toda la empresa y pueda monitorizar la red.

Realiza una auditoría de privilegios: las cuentas de usuario en toda la organización deben revisarse periódicamente. Una auditoría de privilegios debe verificar la identidad y los derechos sobre la red, los sistemas, las aplicaciones de software, los procesos y los programas. Las auditorías periódicas monitorizan la delegación y elevación de privilegios que, de no controlarse, puede dar lugar a una acumulación de privilegios.

Da acceso de usuario con privilegios mínimos de forma predeterminada : es una buena práctica que todas las cuentas se creen con privilegios mínimos de manera predeterminada. Si es necesario que un usuario estándar realice tareas adicionales, siempre se puede añadir privilegios. Como se ha señalado, también es importante revocar los privilegios cuando ya no son necesarios, para evitar que se acumulen.

Controla la segregación de privilegios: las cuentas se pueden separar en privilegios de nivel superior e inferior, y luego se pueden segregar en otros subgrupos, según el rol o la ubicación del usuario. Estas distinciones crean barreras efectivas entre las cuentas con privilegios altos y los perfiles básicos, lo que reduce la capacidad del ciberdelincuente de moverse lateralmente si se produce una brecha de datos.

Refuerza los sistemas: es importante eliminar programas, cuentas y sistemas innecesarios. Esto no solo reduce la superficie de ataque, sino que el entorno del usuario también se vuelve menos complejo y, por lo tanto, más fácil de monitorizar.

El principio del mínimo de privilegios se considera uno de los métodos más eficaces para que las organizaciones controlen y monitoricen el acceso a sus redes, aplicaciones y datos. Este enfoque aporta las siguientes ventajas:

1. Menor riesgo de seguridad: los ciberdelincuentes pueden obtener acceso a tus sistemas infiltrándose en tu red sin ser vistos y elevando los permisos para obtener más accesos. Al imponer restricciones POLP, se reduce la superficie de ataque y se minimiza la propagación de la brecha. Además, las credenciales con privilegios pueden ser monitorizadas de cerca, lo que hace más difícil su vulneración por parte de potenciales ciberdelincuentes.
2. Mayor visibilidad: las auditorías de privilegios exhaustivas y periódicas pueden ofrecer a una organización una información clara de quién accede a la red y cómo se comportan los usuarios. Si se realiza eficazmente, permite a las organizaciones tener un control exhaustivo de todos los usuarios y dispositivos de la red, así como de su actividad.
3. Mayor productividad: si los usuarios solo tienen el acceso con privilegios necesario para realizar su trabajo, lo normal es que trabajen con mayor eficiencia.
4. Contención: al segmentar las identidades, las organizaciones pueden contener eficazmente una posible brecha de seguridad y reducir cualquier daño potencial. La capacidad de moverse lateralmente está restringida por límites estrictos entre los grupos, lo que facilita el rastreo de intrusos y bloquea la propagación.
5. Preparación para auditorías: si se implementa bien, una estrategia POLP puede generar evidencias de la posición de seguridad de una organización y facilitar así la elaboración de informes precisos y el cumplimiento de los requisitos normativos.

Acceso con el mínimo de privilegios y Zero Trust

El principio del mínimo de privilegios es uno de los pilares de Zero Trust. Zero Trust es un marco de seguridad que obliga a todos los usuarios, pertenezcan o no a la red de la empresa, a pasar por un proceso de autenticación, autorización y validación continua para poder acceder o mantener el acceso a las aplicaciones y los datos.

Tradicionalmente, las organizaciones utilizaban un método de protección basado en "confiar pero verificar", que permitía automáticamente a los usuarios (si se verificaban correctamente) acceder a las redes y sus sistemas. Este método, aunque resulta muy sencillo para los usuarios, expone a las organizaciones a un mayor riesgo de sufrir ciberataques y propagación de malware.

Por el contrario, una estrategia Zero Trust "nunca confía, siempre verifica". Este método de protección monitoriza continuamente quién tiene los privilegios y el acceso adecuados a las redes.

El enfoque Zero Trust de ciberseguridad está respaldado por el principio del mínimo de privilegios. Al implementar las prácticas de seguridad de "nunca confiar" (por ejemplo, incluyendo de primeras a todos los usuarios en una cuenta con el mínimo de privilegios), las organizaciones pueden monitorizar y validar constantemente usuarios y dispositivos en tiempo real, con un acceso condicional basado riesgos.

Es importante recordar que el principio del mínimo de privilegios y la arquitectura Zero Trust son dos aspectos de una estrategia integral de ciberseguridad. Aunque la tecnología juega un papel importante en la protección de la organización, los sistemas digitales no evitarán las brechas por sí solos. Las empresas deben adoptar una solución de seguridad integral que incluya diferentes soluciones de protección de identidad y endpoints para garantizar la seguridad de sus redes.