Steven LafortuneGuarde las credenciales de cada cliente en una bóveda independiente, dé a los técnicos acceso solo a los clientes que atienden, inyecte las credenciales al conectarse en lugar de compartirlas, proteja la bóveda con autenticación multifactor (MFA) y trate los registros de acceso por técnico como unos de sus registros más importantes, conservándolos al menos seis meses. Así aplica las recomendaciones sobre privilegio mínimo y registro del aviso conjunto de 2022 para proveedores de servicios gestionados (MSP) y elimina las búsquedas manuales que se comen el tiempo facturable.
Por qué la gestión de credenciales es un problema a la medida de un MSP
Un MSP tiene acceso administrativo a muchas organizaciones a la vez. Eso lo convierte en un objetivo muy rentable: si se compromete a un solo proveedor, se puede llegar a todos los clientes que gestiona. En mayo de 2022, las agencias de ciberseguridad de Estados Unidos, el Reino Unido, Canadá, Australia y Nueva Zelanda publicaron un aviso conjunto que advertía precisamente de esta tendencia.
En el día a día de muchos MSP, la realidad es menos dramática, pero igual de costosa.
Las credenciales están en demasiados sitios
El acceso de un mismo cliente se reparte entre una hoja de cálculo, una página de wiki, el gestor de contraseñas personal de un técnico y un ticket antiguo. Nadie sabe con certeza qué copia está actualizada, y cada copia es algo más que proteger.
Cada búsqueda es tiempo no facturable
Encontrar los datos de la VPN, luego la contraseña, y después escribir ambos añade minutos a muchos tickets. Multiplicado por todo un equipo durante un mes, es tiempo que el MSP paga y no puede facturar.
Los técnicos ven más de lo que necesitan
Cuando todos pueden abrirlo todo, una sola cuenta de técnico comprometida expone a todos los clientes. Además, resulta imposible demostrar el privilegio mínimo, una recomendación clave para los MSP.
Los clientes piden pruebas
El aviso indica a los clientes que se aseguren de que las cuentas de su MSP se supervisan y auditan, así que cuente con que ellos, sus auditores y sus aseguradoras de ciberriesgos le pregunten qué personas de su equipo accedieron a sus sistemas, y cuándo. Una hoja de cálculo compartida no puede responder a eso.
Siete prácticas para la gestión de credenciales en un MSP
- Dé a cada cliente su propia bóveda. Separe las conexiones y credenciales de cada cliente para poder conceder, revisar y revocar el acceso cliente por cliente.
- Conceda el acceso por cliente y actualícelo cuando cambien los roles. Los técnicos solo deberían llegar a los clientes que atienden. El aviso conjunto de 2022 recomienda aplicar el privilegio mínimo en todo el entorno y actualizar los privilegios de inmediato cuando cambian los roles administrativos.
- Inyecte las credenciales en lugar de compartirlas. Cuando las conexiones se abren con la credencial ya introducida, los técnicos no copian, pegan ni guardan las contraseñas de los clientes.
- Guarde los datos de conexión junto con la credencial. Almacene los datos de la VPN, la puerta de enlace y el host del cliente en la misma entrada, para que el técnico pase del ticket a la sesión en un solo paso.
- Proteja la bóveda con MFA. La plataforma que guarda las credenciales de todos sus clientes nunca debería estar a una sola contraseña de quedar expuesta.
- Registre el acceso por técnico y conserve los registros. Anote quién abrió qué entrada de cliente y cuándo. El aviso conjunto recomienda conservar los registros más importantes al menos seis meses; compruebe que su periodo de conservación lo cumple.
- Controle los vencimientos y gestione las bajas con rapidez. Reciba avisos antes de que venzan las credenciales de los clientes y otras entradas, y retire el acceso de un técnico que se marcha desde un solo lugar en su último día.
Hojas de cálculo, gestores de contraseñas personales o una plataforma central
| Pregunta | Hoja de cálculo o wiki | Gestor de contraseñas personal de cada técnico | Plataforma central de conexiones y credenciales |
|---|---|---|---|
| ¿Separado por cliente? | Solo por pestaña o página | Depende de cada persona | Una bóveda por cliente |
| ¿Privilegio mínimo? | Quien tiene el archivo lo ve todo | Sin control centralizado | Acceso por cliente, rol o grupo |
| ¿Los técnicos ven las contraseñas? | Sí | Sí | No, gracias a la inyección de credenciales |
| ¿Quién accedió a los sistemas de un cliente? | Se desconoce | Se desconoce | Registro de auditoría por técnico |
| Baja de un técnico | Cambiar todas las contraseñas que vio | Confiar en que cada uno borre sus copias | Retirar el acceso una sola vez |
| Tiempo del ticket a la sesión | Buscar, copiar, pegar | Buscar, autocompletar | Un clic, VPN incluida |
Cómo Devolutions Remote Desktop Manager (RDM) respalda estas prácticas
Remote Desktop Manager da respuesta a las siete prácticas anteriores (edición Team con un espacio de trabajo en la nube o autoalojado):
- Una bóveda por cliente en un espacio de trabajo de Devolutions Cloud o Devolutions Server, con permisos por bóveda, carpeta o entrada.
- Control de acceso basado en roles, con grupos de usuarios que Devolutions Server puede vincular a grupos de Active Directory o importar desde proveedores de identidad como Microsoft Entra ID, Okta o PingOne.
- Inyección de credenciales al iniciar las sesiones, en una sola aplicación que abarca RDP, SSH, web y más de 150 protocolos en total.
- Gestión integrada de VPN de Microsoft, Cisco, SonicWall e IPsec.
- MFA con Duo, YubiKey o cualquier aplicación TOTP.
- Un registro de auditoría, una auditoría del uso de contraseñas y la exportación de informes en CSV, además de notificaciones sobre entradas vencidas y a punto de vencer.
¿Quiere ver cómo gestiona RDM un ticket típico de un cliente, desde que se abre hasta que se conecta? Reserve una demostración en directo, descargue RDM o consulte los precios.
Preguntas frecuentes
¿Cómo debería un MSP almacenar las contraseñas de sus clientes?
Un MSP debería almacenar las contraseñas de sus clientes en una plataforma central y cifrada, con una bóveda independiente para cada cliente, acceso concedido solo a los técnicos que atienden a ese cliente, MFA en la plataforma y un registro de auditoría por técnico. Las hojas de cálculo, las wikis y los gestores de contraseñas personales no pueden aplicar ni demostrar todo esto de forma fiable.
¿Qué recomienda el aviso conjunto de 2022 a los MSP?
El aviso conjunto AA22-131A, publicado en mayo de 2022 por las agencias de ciberseguridad de Estados Unidos, el Reino Unido, Canadá, Australia y Nueva Zelanda, recomienda a los MSP imponer la MFA, aplicar el privilegio mínimo y actualizar los privilegios cuando cambian los roles, mejorar la supervisión y el registro, segmentar las redes y definir las responsabilidades de seguridad en los contratos con los clientes.
¿Cómo pueden los técnicos acceder a los sistemas de los clientes sin ver las contraseñas?
Con la inyección de credenciales. Una herramienta como RDM introduce la credencial del cliente al abrir la conexión, de modo que el técnico trabaja en el sistema sin ver, copiar ni guardar la contraseña.
¿Cuánto tiempo debería un MSP conservar los registros de acceso?
El aviso conjunto de 2022 recomienda conservar los registros más importantes al menos seis meses. Los contratos con los clientes, las normas del sector o las pólizas de ciberseguro pueden exigir más tiempo, así que revíselos también.
¿Qué debería hacer un MSP cuando un técnico se marcha?
Retire el acceso del técnico a todas las bóvedas de clientes desde un solo lugar en su último día. Si podía ver las contraseñas directamente, cambie también las credenciales de cliente más sensibles. Con la inyección de credenciales, se le habrán expuesto muchas menos contraseñas.
Fuentes
- CISA: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A), en inglés
- Australian Cyber Security Centre: el mismo aviso conjunto, en inglés
- NCSC-UK: anuncio del aviso conjunto, en inglés
- Documentación de Devolutions: comparar las ediciones de Remote Desktop Manager (en inglés)