Gabriel Caron LandrySi su organización está buscando una solución de gestión de contraseñas, antes de realizar la compra debe responder a una pregunta crucial. No se trata del coste, la compatibilidad ni el cumplimiento normativo. Es algo más fundamental: ¿necesita ÚNICAMENTE un gestor de contraseñas? Aunque parezca increíble, la respuesta probablemente sea que no.
¿Orientado a las empresas? Sí.
Este es el problema de raíz: “gestor de contraseñas” es, en esencia, un término de marketing que se acuñó hace varios años, sin duda para capitalizar dos cosas que las organizaciones necesitan y valoran: la seguridad (que sugiere la parte de “contraseñas”) y la eficiencia (que sugiere la parte de “gestor”).
Es cierto que los gestores de contraseñas están orientados a las empresas. Pero, al contrario de lo que se suele creer, no son intrínsecamente seguros.
En esencia, un gestor de contraseñas ofrece una forma centralizada de gestionar datos. Otra manera de verlo es decir que, en cuanto se gestionan y comparten datos, se está utilizando, por definición, un sistema de gestión de contraseñas. ¿Significa esto que algo tan poco seguro como una hoja de Excel compartida es un “gestor de contraseñas”? La respuesta es sí. De hecho, la mayoría de los gestores de contraseñas del mercado solo permiten a las organizaciones compartir una única bóveda con todos los usuarios (técnicos y no técnicos), sin ningún control sobre quién tiene acceso a qué.
De nuevo, esto se debe a que los gestores de contraseñas están diseñados para centralizar y gestionar datos. No están concebidos para la seguridad, sino para la continuidad del negocio. A continuación se explica por qué es así…
¿Seguro? No.
Los gestores de contraseñas permiten a los usuarios finales compartir bóvedas que contienen distintos tipos de información, como credenciales, tarjetas de crédito, datos de conexión remota, inicios de sesión de sitios web, documentos, etc. Si un usuario final abandona la empresa, sus antiguos compañeros no tienen que perder tiempo buscando hojas de cálculo personales, blocs de notas, etc. En su lugar, pueden encontrar rápida y fácilmente lo que necesitan en las bóvedas compartidas. Esto resulta cómodo, pero no seguro. Con cualquier gestor de contraseñas, a un usuario final le basta con copiar y pegar las credenciales en otro fichero y marcharse con ellas.
Los gestores de contraseñas disponibles hoy en el mercado no pueden solucionar esta situación, y sin embargo afirman ser “seguros”. La única manera de hacerlos seguros sería cambiar todas las contraseñas cada vez que alguien deja la empresa, algo realmente engorroso. ¿Y qué tal si las contraseñas se restablecieran automáticamente después de cada uso? Esto es casi imposible para aplicaciones de terceros o contraseñas de sitios web. En la práctica, la única opción segura y viable es ocultar la contraseña en el momento de uso mediante la inyección segura de credenciales, algo que analizaremos más adelante en este artículo.
¿Qué significa todo esto para su organización? Aquí está la sorprendente, y quizás impactante, verdad: si compra únicamente un gestor de contraseñas, obtendrá continuidad del negocio, NO seguridad. Lo que hace que su organización esté segura es lo que hace con las contraseñas, y cómo lo hace.
“Funciones reactivas” en los gestores de contraseñas
Al explorar los distintos gestores de contraseñas disponibles —y hay muchos donde elegir—, es probable que se haya encontrado (o se encuentre) con productos que incluyen funciones como:
- Control de acceso basado en roles (RBAC)
- Comprobación de contraseñas filtradas (“pawned”)
- Políticas mínimas de contraseñas
- Complemento de navegador
- Registro de actividad
Normalmente, los proveedores describen estas funciones como “funciones de seguridad”. Sin embargo, en realidad no hacen que su organización sea más segura. En su lugar, deberíamos llamarlas “funciones reactivas”, ya que pueden alertarle de posibles problemas. Estas funciones son el PUNTO DE PARTIDA de la seguridad en su organización, no su punto final.
El papel de los gestores de contraseñas
A pesar de estos importantes inconvenientes, los gestores de contraseñas —que en realidad deberían llamarse “herramientas de continuidad del negocio”— tienen su lugar en el panorama empresarial. En concreto, resultan útiles para usuarios de negocio no técnicos que, de otro modo, tendrían dificultades para recordar una lista enorme de contraseñas seguras y únicas (según algunos estudios, el usuario de negocio promedio maneja actualmente la asombrosa cifra de 191 contraseñas).
Sin embargo, ese es el límite del caso de uso de los gestores de contraseñas. Los usuarios técnicos (por ejemplo, administradores de sistemas, personal de soporte técnico, etc.) trabajan en áreas donde reside el riesgo real y donde las necesidades de seguridad son más altas. Para ellos, un gestor de contraseñas por sí solo resulta totalmente insuficiente. Afortunadamente, existe una forma práctica y probada de cerrar esta brecha de seguridad.
Complementar los gestores de contraseñas con gestión de sesiones privilegiadas (PSM) o gestión de accesos privilegiados (PAM)
Un gestor de contraseñas que además funcione como una solución de seguridad legítima y robusta —y no únicamente como una herramienta de continuidad del negocio— debe admitir funciones como:
- Inyección segura de credenciales
- Descubrimiento de cuentas
- Rotación automática de contraseñas
- Alertas y notificaciones
- Proceso de aprobación de solicitudes de acceso
Pues bien, en cuanto se empiezan a tener en cuenta estas funciones de seguridad esenciales, ya no se está buscando únicamente un gestor de contraseñas. También se está buscando gestión de sesiones privilegiadas (PSM) o gestión de accesos privilegiados (PAM).
Una forma sencilla de determinar sus necesidades
¿Cómo saber si necesita un gestor de contraseñas con funciones de PSM, o un gestor de contraseñas reforzado con funciones de PAM? Aquí tiene una lista de comprobación sencilla para determinarlo:
Probablemente necesite un gestor de contraseñas + PSM si:
- La solución la utilizarán usuarios técnicos.
- Desea iniciar conexiones de forma automática.
- No quiere que los usuarios finales vean las contraseñas.
Probablemente necesite un gestor de contraseñas + PAM si:
- Desea que las contraseñas se cambien o restablezcan.
- Desea contar con opciones de descubrimiento de cuentas.
- Desea un proceso de aprobación de solicitudes de acceso.
Y, naturalmente, si marca elementos de ambas listas, necesita un gestor de contraseñas con funciones tanto de PSM como de PAM.
Reflexiones finales
No hay nada intrínsecamente malo en los gestores de contraseñas. Tienen un papel que desempeñar y aportan importantes ventajas en cuanto a eficiencia y comodidad. Sin embargo, por sí solos no son soluciones de seguridad legítimas capaces de ofrecer funciones sofisticadas de seguridad informática, aunque durante décadas se hayan promocionado como tales.
Para obtener eficiencia Y seguridad —y no una en lugar de la otra—, su organización necesita un gestor de contraseñas reforzado con PSM y/o PAM. Con este enfoque e infraestructura, sus usuarios de negocio seguirán siendo productivos y eficientes, mientras que su personal de TI contará con el control, la visibilidad y los informes que necesita para mantener su organización segura y conforme a la normativa.