Permisos y gestión mínima
Módulo 7: Acceso, proveedores y la nube · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá organizar los permisos según el principio de "lo mínimo posible": cada persona con su propia cuenta, los permisos de administrador por separado, los terceros externos con acceso temporal y limitado, y un procedimiento fijo para cuando alguien empieza, cambia de función o se marcha.
Conceptos clave: mínimo privilegio, cuenta personal, cuenta compartida, cuenta de administrador, separación de funciones, alta, cambio y baja, inventario de accesos
El principio: lo mínimo posible
Least privilege (en español: mínimo privilegio) significa que cada persona recibe exactamente el acceso que necesita para su trabajo, y nada más. El NIST lo describe como un principio según el cual los usuarios solo tienen los permisos mínimos necesarios para realizar sus tareas.
¿Por qué es importante? Porque tarde o temprano cualquier cuenta puede verse comprometida: por phishing (módulo 3), una contraseña filtrada (lección 1.4) o un portátil infectado. Lo que un atacante puede hacer entonces depende por completo de los permisos de esa cuenta. La cuenta de un becario que solo gestiona redes sociales da poco margen. La cuenta de alguien que "por comodidad" es administrador de todo lo da todo: correo, pagos, el sitio web, las copias de seguridad.
Los permisos mínimos no reducen la probabilidad de que se produzca una intrusión, pero sí reducen el daño. Es la misma idea que con las llaves de un edificio: la persona de la limpieza tiene llave de la puerta principal, no de la caja fuerte.
Cada persona con su propia cuenta
Una cuenta compartida es una cuenta en la que varias personas inician sesión con la misma contraseña: "todos usamos info@example.com para entrar en el programa de contabilidad". Resulta práctico, pero tiene cuatro grandes inconvenientes:
- No sabe quién hizo qué. En el registro solo aparece "info". Si se modifica un pago, no podrá averiguar quién lo hizo.
- No puede bloquear el acceso a una sola persona. Si alguien se marcha, hay que cambiar la contraseña para todos, y en la práctica esto a menudo no se hace.
- La verificación en dos pasos funciona mal. El código llega a un solo teléfono, así que se acaba desactivando la 2FA o reenviando el código a todos.
- La contraseña circula por WhatsApp, notas y correo, y deja de ser secreta.
Una cuenta personal soluciona todo esto: inicio de sesión propio, 2FA propia, registro propio, y se puede bloquear de forma individual. Casi todos los servicios profesionales admiten varios usuarios con permisos propios. Una dirección de correo compartida como info@ puede seguir existiendo como dirección; haga que las personas que la leen accedan a través de su propia cuenta, si su sistema de correo lo permite.
Permisos de administrador por separado
Una cuenta de administrador puede crear usuarios, modificar permisos, cambiar configuraciones y a menudo también borrar datos. Precisamente por eso debe usarla lo menos posible.
- Trabaje a diario con una cuenta normal e inicie sesión como administrador solo cuando tenga que administrar algo. Esto también se aplica a su portátil (lección 5.2).
- Procure tener al menos dos personas con permisos de administrador en los servicios más importantes, o una cuenta de emergencia bien guardada. Si el único administrador está enfermo o ausente, se queda bloqueado.
- Pero tampoco más de lo necesario. Cinco administradores en una empresa de ocho personas son cuatro de más.
- Active la verificación en dos pasos en cada cuenta de administrador, preferiblemente resistente al phishing (lección 2.4).
La separación de funciones va un paso más allá: una persona sola no debe poder realizar de principio a fin una acción sensible. El ejemplo más conocido lo vio en la lección 1.2: quien introduce un nuevo IBAN de un proveedor no es quien también aprueba el pago. En una empresa pequeña esto puede ser sencillo: uno prepara el pago, otro lo aprueba en la aplicación del banco.
Terceros externos: acceso temporal y limitado
Los desarrolladores web, los asesores contables, las empresas de informática y los autónomos a menudo necesitan acceso. El error clásico es darles su propia contraseña. Entonces pueden hacer todo lo que usted puede hacer, y después ya no sabe quién puede seguir entrando.
Mejor:
- Dé una cuenta propia con solo los permisos necesarios. A un asesor contable le basta con las facturas; a un desarrollador web, con los archivos de un único sitio web.
- Dé el acceso con una fecha de fin si se trata de un trabajo puntual. Muchos sistemas permiten que una cuenta o una clave caduquen automáticamente.
- Limite, cuando sea posible, desde qué red puede alguien iniciar sesión.
- Registre quién tiene qué acceso externo, y por qué.
Alta, cambio y baja
Los permisos crecen solos. Alguien empieza en ventas, ayuda unos meses en administración y después pasa a producción. Si nadie lo controla, al cabo de dos años esa persona tiene los permisos de las tres funciones. Por eso debe gestionar los permisos en tres momentos:
| Momento | Qué hacer |
|---|---|
| Alta (nuevo empleado) | Crear cuentas propias con los permisos de la función, configurar la 2FA de inmediato, explicar dónde está cada cosa |
| Cambio (otra función) | Añadir los permisos nuevos y retirar los antiguos |
| Baja (salida) | El último día laborable: desactivar las cuentas, revocar las sesiones en los dispositivos, cambiar las contraseñas compartidas, transferir los archivos |
En la baja, el orden es importante. Primero transferir, después desactivar, y solo más tarde eliminar. Si elimina una cuenta de inmediato, en muchos servicios desaparecen también los archivos, las agendas y el correo de esa persona. En algunos servicios de nube esto es definitivo pasado un breve plazo: Microsoft 365 conserva el OneDrive de un usuario eliminado, según su propia documentación, durante 30 días por defecto. Desactivar conserva los datos y cierra el acceso.
Al producirse una salida, no olvide tampoco: las reglas de reenvío que la persona haya configurado (lección 2.5), las contraseñas de aplicación, el acceso a la aplicación bancaria, las redes sociales y el registrador de su dominio, así como las llaves o tarjetas del edificio.
El inventario de accesos
Un inventario de accesos es una tabla sencilla: por servicio, quién tiene acceso, con qué permisos, y si se trata de una cuenta propia o externa. Revise esa lista al menos dos veces al año, y siempre después de una salida. En cada línea hágase una pregunta: ¿sigue necesitando esta persona esto hoy?
En la práctica: así funciona
En el entorno de ejemplo Mi WebOké invita a un compañero, asesor contable o desarrollador web como usuario. Esa persona inicia sesión con sus propios datos, y usted marca por permiso lo que puede hacer, por ejemplo solo Facturas para el asesor contable. Solo el propietario de la cuenta puede invitar usuarios y modificar permisos, y con un solo clic puede revocar el acceso. En DirectAdmin puede dar a un desarrollador web una cuenta FTP propia para una sola carpeta, o una clave de acceso con fecha de caducidad, comandos limitados y acceso solo desde determinadas direcciones IP.
En Nextcloud, cuando un compañero se marcha, elija primero Desactivar: ya no podrá iniciar sesión, pero los archivos se conservan. El manual es claro: elimine al usuario solo cuando todo se haya transferido, porque un usuario eliminado desaparece de forma definitiva junto con todos sus archivos. En otros sistemas esto funciona de forma similar, pero los nombres y los plazos varían; consúltelo antes de que alguien se marche.
Resumen
- Los permisos mínimos limitan el daño si una cuenta se ve comprometida.
- Cada persona con su propia cuenta: así sabrá quién hizo qué y podrá bloquear a una sola persona.
- Use los permisos de administrador solo cuando sea necesario, para un número reducido de personas, con una 2FA fuerte.
- Los terceros externos reciben una cuenta propia, limitada y, cuando sea posible, temporal, nunca su contraseña.
- Gestione los permisos en el alta, el cambio y la baja; al marcharse alguien: transferir, desactivar, eliminar más tarde.
Cuestionario
Ejercicio
Ejercicio A7.1: ¿Quién recibe qué acceso? Se le presentará una serie de situaciones de una pequeña empresa (un nuevo asesor contable, un desarrollador web para un trabajo puntual, un compañero que se marcha, un becario). Elija para cada situación la mejor manera de dar o cerrar el acceso. El programa revisará su elección y le explicará por qué.
Ejercicio D7.1: Su inventario de accesos. Elabore un inventario de accesos de sus cinco servicios más importantes: quién tiene acceso, con qué permisos, cuenta propia o compartida, interno o externo. Elimine al menos un permiso innecesario o una cuenta compartida y redacte su lista de baja para la próxima vez que alguien se marche.
Ejercicio D7.1: Su panorama de accesos
Así se hace: (1) Elija sus cinco servicios más importantes (por ejemplo, correo, contabilidad, banco, panel de alojamiento, almacenamiento en la nube, registrador de su dominio). (2) Haga un panorama por servicio: quién tiene acceso (función, no hacen falta nombres), qué permisos, cuenta propia o compartida, interna o externa, verificación en dos pasos activada, fecha del último inicio de sesión si el servicio lo muestra. (3) Busque en cada servicio la lista de usuarios y compárela con su panorama. Anote las diferencias. (4) Elimine al menos un permiso innecesario, una cuenta antigua o una cuenta compartida, o sustituya una cuenta compartida por cuentas personales. (5) Compruebe por servicio cuántos administradores hay; procure que sean dos. (6) Redacte su lista de baja: qué hace el último día laboral de alguien (desactivar cuentas, revocar sesiones, revisar reglas de reenvío y contraseñas de aplicaciones, cambiar contraseñas compartidas, transferir archivos, banco, redes sociales, registrador, llaves y tarjetas). (7) Establezca una cita recurrente (dos veces al año) para revisar el panorama.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores el funcionamiento es similar.
- Manual de WebOké 11.3: Invitar a usuarios y asignar permisos
- Manual de Nextcloud 14.2: Crear, editar, desactivar y eliminar usuarios
- Manual de Nextcloud 14.7: Permisos: ¿quién gestiona qué en su Nextcloud?
- Manual de Nextcloud 16.7: Un colega se va: cómo recuperar de forma segura sus archivos, calendario y carpetas compartidas
- Manual de DirectAdmin 3.5: Iniciar sesión llaves: inicio de sesión para scripts y programas
- Manual de DirectAdmin 11.6: Crear y administrar cuentas de FTP
- NIST, Glossary: least privilege (en inglés): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (en inglés): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion