Gestión de accesos privilegiados para pymes

Global Admin, AWS root, Salesforce system admin — esos son los roles que más problemas generan. Lo que puedes hacer sin comprar una herramienta PAM cara.

Privileged Access Management (PAM) suena a algo reservado para bancos y organismos públicos. Para las pymes lo traduzco de forma sencilla: ¿qué cuentas pueden, si se ven comprometidas, paralizar toda tu empresa? En la práctica son entre 5 y 15, y merecen un trato especial.

Haz un inventario de tus cuentas privilegiadas

Repasa esta lista:

• M365 / Entra Global Administrator(s)
• Google Workspace super admin
• AWS root user
• Admin del software de contabilidad (Exact, Moneybird, etc.)
• Salesforce system admin
• GitHub/GitLab org owner
• Registrador de dominio (TransIP, Hover, Namecheap)
• Proveedor de DNS (Cloudflare)
• Admin del gestor de contraseñas
• Panel de hosting (Plesk, cPanel)
• Cuenta bancaria ("con permisos para realizar pagos")

Anótalas indicando por cada cuenta: quién tiene las credenciales, en qué vault están guardadas y quién es el suplente. Consulta también Cómo elaborar un inventario de SaaS.

Las tres reglas del acceso privilegiado

1. No para el trabajo diario. Tu Global Admin envía correos y asiste a reuniones con una cuenta de usuario normal. Solo cambias a la cuenta privilegiada para tareas de administración. A esto lo llamamos cuentas de administración dedicadas.
2. MFA es obligatorio, no opcional. Para usuarios normales, MFA es muy recomendable; para cuentas privilegiadas, es innegociable. Usa preferiblemente un token de hardware (YubiKey) para este conjunto de cuentas.
3. Al menos dos personas deben conocer las credenciales root. Una sola persona es un punto único de fallo. Tres son demasiadas. Dos es lo ideal.

Acceso justo a tiempo: el patrón más maduro

En Entra ID puedes configurar PIM (Privileged Identity Management): los permisos de Global Admin NO están activos por defecto; alguien debe activarlos para una sesión de máximo 8 horas, con la aprobación de un compañero. Esto reduce enormemente la superficie de ataque. Consulta la guía de gobernanza de M365 para ver cómo configurarlo.

Revisión y rotación

Cada trimestre: repasa la lista de cuentas privilegiadas. Dos preguntas por cada línea: «¿esta persona sigue necesitando este acceso?» y «¿cuándo fue el último uso?». Ten en cuenta que si un Global Admin no ha iniciado sesión en 95 días, eso es un riesgo (revisión de accesos).

De todas las categorías dentro de tu gestión de accesos, esta es la que tiene menos cuentas pero a la que debes dedicar más atención. Y así es como debe ser.