Gestión de accesos privilegiados (PAM)

La gestión de accesos privilegiados es la práctica de proteger, controlar y supervisar el acceso con privilegios elevados («privilegiado») a los sistemas y datos más críticos de una organización. Las cuentas privilegiadas (administradores, root, cuentas de servicio y similares) pueden modificar configuraciones, acceder a datos sensibles y eludir los controles habituales. Ese poder las convierte en el objetivo principal de la mayoría de las brechas graves. PAM reduce el riesgo eliminando el acceso permanente, ocultando las credenciales y manteniendo auditable cada acción privilegiada.

El acceso privilegiado es cualquier acceso que conlleva derechos elevados más allá de los de un usuario estándar. Algunos ejemplos habituales son:

• Cuentas de administrador: administradores locales y de dominio en servidores y estaciones de trabajo.
• Cuentas root y de superusuario en sistemas Linux y Unix.
• Cuentas de servicio y de máquina que ejecutan procesos automatizados.
• Cuentas de infraestructura en la nube con permisos amplios de consola o API.
• Credenciales de administrador de bases de datos, dispositivos de red e hipervisores.

Todas ellas pueden realizar cambios de gran alcance o exponer información sensible, y por eso se gobiernan de forma distinta a las cuentas de usuario habituales.

Una solución PAM somete las cuentas privilegiadas a un control central mediante varias capacidades esenciales:

• Almacenamiento de credenciales en bóveda: las contraseñas, claves y secretos privilegiados se almacenan cifrados en lugar de quedar en manos de los usuarios.
• Inyección e intermediación de credenciales: las credenciales se introducen en las sesiones sin revelarse al usuario.
• Gestión de sesiones privilegiadas: las sesiones a sistemas críticos se canalizan mediante un proxy, se supervisan y se graban, a menudo a través de un gestor de sesiones privilegiadas (PSM).
• Acceso justo a tiempo (JIT): los derechos elevados se conceden durante un periodo limitado y se retiran automáticamente, eliminando los privilegios permanentes.
• Rotación de credenciales: las contraseñas privilegiadas cambian automáticamente según una planificación o después de cada uso.
• Auditoría e informes: cada extracción de credenciales, sesión y acción queda registrada para su revisión y para el cumplimiento normativo.

Las organizaciones suelen adoptar PAM para:

• Controlar el acceso de terceros y proveedores: conceder a técnicos externos un acceso delimitado y de duración limitada sin entregarles contraseñas.
• Proteger las cuentas de servicio y de automatización: guardar en bóveda y rotar las credenciales no humanas de las que dependen los scripts y las aplicaciones.
• Proporcionar acceso de emergencia (break-glass): poner a disposición el acceso privilegiado de urgencia de forma controlada y totalmente auditada.
• Gobernar la infraestructura en la nube e híbrida: aplicar controles coherentes en consolas locales y en la nube.
• Cumplir los requisitos de auditoría y cumplimiento normativo: generar pruebas de quién accedió a qué y cuándo.

La gestión de identidades y accesos (IAM) rige las identidades y el acceso cotidiano de todos los usuarios. PAM es una disciplina específica dentro de ese ámbito, centrada concretamente en el reducido número de cuentas con privilegios elevados y de alto riesgo. En resumen, IAM gestiona el acceso de todo el mundo; PAM gestiona los accesos con gran poder que podrían causar el mayor daño en caso de uso indebido.

Las credenciales privilegiadas comprometidas están detrás de una gran parte de los incidentes de seguridad más importantes, porque otorgan a un atacante el alcance de un administrador de confianza. PAM reduce esa exposición eliminando los privilegios permanentes, manteniendo las credenciales fuera del alcance de los usuarios y limitando lo que puede hacer cada cuenta. Además, genera el registro de auditoría que marcos como SOC 2 e ISO 27001 exigen para la actividad privilegiada, lo que lo convierte en un elemento central tanto de la seguridad como del cumplimiento normativo.