Una vez que haya identificado las cuentas con privilegios y los activos confidenciales, la siguiente etapa es implementar el privilegio mínimo.

Esto implica eliminar el acceso innecesario siempre que sea posible. En particular, eso implica las cuentas ocultas, las cuentas de servicio adicionales y los privilegios extendidos que identificamos en la primera sección.

Con mucho, la forma más fácil de hacer esto es agrupar archivos confidenciales en función de quién debe tener acceso a ellos.

De este modo, puede implementar controles de acceso basados en roles para cada uno de estos grupos.

Por ejemplo, los gerentes de recursos humanos tendrían acceso a la dirección de los empleados y a la información salarial, pero no a la información confidencial de los clientes en el CRM. Para los gerentes de ventas, sería todo lo contrario.

En el caso de los archivos básicos, esto debería ser bastante sencillo; Se trata de poner archivos en carpetas y controlar el acceso a esas carpetas.

Si esos datos se almacenan en la nube o en aplicaciones SaaS, va a ser más difícil.

Algunos de estos tendrán protecciones PAM integradas, otros no, por lo que tendrá que pensar detenidamente qué herramientas está utilizando y si pueden ofrecer la protección que necesita.

También puede ser útil en esta etapa considerar una plataforma CIEM para controlar el acceso a los datos almacenados en entornos de nube particularmente complejos.

Cualquiera que sea la táctica que esté utilizando, el objetivo debe ser reducir los privilegios a un mínimo absoluto.

De esa manera, hay menos puntos de entrada para que los piratas informáticos se dirijan.

Eliminar privilegios innecesarios es un gran primer paso, pero no es la única herramienta en su arsenal.

Después de todo, siempre habrá cuentas que necesiten acceso a información confidencial, y estas identidades aún pueden ser infiltradas.

Pero hay una serie de otras medidas que puede implementar que pueden mejorar la defensa de esas cuentas privilegiadas que aún deben existir.

Estos son algunos de los más importantes:

• Rotación de credenciales: una política para garantizar que las contraseñas se cambien con regularidad, a menudo combinada con restricciones sobre la seguridad de las contraseñas. Una vez que se les solicite, los usuarios finales deben cambiar su contraseña antes de iniciar sesión. Esto garantiza que las contraseñas filtradas o robadas se vuelvan redundantes después de un cierto período. Las políticas de rotación se pueden definir a través de soluciones PAM y están disponibles a través de una variedad de otras herramientas de seguridad.
• Autenticación multifactor: Por lo general, implica que un usuario se autentique a través de su teléfono inteligente al iniciar sesión, lo que crea una capa adicional de defensa. Esto puede ocurrir a través de una aplicación de autenticación, un código de acceso de un solo uso o un escaneo de huellas dactilares. La funcionalidad MFA ahora es común en los principales productos SaaS. También se pueden implementar a nivel de toda la empresa utilizando productos PAM o a través de una variedad de herramientas de seguridad de Microsoft.
• Bóveda de contraseñas: Una bóveda o administrador de contraseñas es otra herramienta cada vez más popular. Aquí, las contraseñas se cifran y se almacenan en una aplicación o complemento seguro, a menudo sin que los propios usuarios finales puedan verlas. Esto garantiza que las contraseñas puedan ser complejas, únicas y cambiarse regularmente sin afectar la experiencia del usuario. También evita que las contraseñas se guarden en forma de texto sin formato a través de aplicaciones de notas inseguras u otros medios.
• Claves digitales y tokens: Al igual que la bóveda de contraseñas, su objetivo es eliminar por completo las contraseñas basadas en texto. En su lugar, el acceso se puede conceder a través de tokens digitales, claves o identificadores, que pueden aprovisionarse de forma segura a través de productos PAM y gestionarse de forma centralizada por el equipo de TI. Por lo general, estas claves son cadenas de caracteres cifradas y basadas en texto que son desconocidas para el usuario final y no se pueden reproducir de forma efectiva en forma de texto sin formato.
• Llaves físicas: Elementos (por ejemplo, memoria USB, tarjeta de acceso, llaveros, microchips, etc.) que pueden autenticar a las personas. Al igual que con las llaves tradicionales, la autenticación se basa en la suposición de que solo la persona seleccionada tiene este elemento en su posesión. Puede decidir, por ejemplo, que cualquier persona con una cuenta de administrador root necesite autenticarse a través de una contraseña, un escaneo de huellas dactilares y una clave digital, esencialmente una capa extendida de autenticación multifactor.
• Acceso justo a tiempo: Otra característica que puede ser habilitada por las plataformas PAM o PEDM más actualizadas. Se trata esencialmente de una serie de políticas dinámicas que conceden o revocan el acceso a activos confidenciales en función del contexto. Esto evita la necesidad de que cualquier persona tenga acceso “siempre activo”, también conocido como privilegios permanentes. En la práctica, esto significa que se puede denegar el acceso si se detectan ciertas “señales de riesgo” (por ejemplo, un nuevo dispositivo, una nueva ubicación, vulnerabilidades sin parches). Cuando se concede el acceso, generalmente se hace por razones específicas y por períodos de tiempo limitado.

Los productos más actualizados le permitirán crear e implementar políticas PAM para decidir qué tipos de autenticación se deben usar en qué escenarios.

Un buen lugar para comenzar es implementar MFA en todas las cuentas privilegiadas y usar una bóveda de contraseñas como predeterminada para todas las credenciales digitales.

A continuación, puede considerar la implementación de claves digitales, tokens y políticas just-in-time para permitir el acceso a activos y datos más confidenciales.

Sea cual sea el enfoque que elijas, la mejor política de PAM es, con diferencia, crear una defensa en capas.

Ninguna política por sí sola detendrá el 100% de los ataques, por lo que es importante utilizar una combinación de diferentes técnicas.

A estas alturas, hemos identificado los activos confidenciales, hemos eliminado los privilegios innecesarios y hemos implementado una serie de políticas para mantener la seguridad de su entorno de TI.

Es posible que asuma que el trabajo está completo en este punto, pero es importante no quedarse tranquilo.

Las políticas que cree deberán revisarse continuamente para asegurarse de que obtiene el equilibrio adecuado entre seguridad y facilidad de uso.

Todas las políticas de seguridad tienen algún impacto en la experiencia del usuario. Y cuando ese impacto se vuelve demasiado severo, los empleados generalmente comienzan a encontrar soluciones engorrosas para evitarlos, lo que no es bueno para la seguridad.

Por lo tanto, es importante determinar cuál es el impacto de sus políticas para que pueda decidir dónde son más necesarias.

Entonces, ¿cómo se hace esto? La primera etapa es la más obvia: habla con tu equipo.

Esto te dará una idea de cómo perciben las políticas y dónde están los mayores problemas.

Si las medidas de seguridad sobre activos de riesgo relativamente bajo están creando mucha fricción innecesaria, esto podría ser una señal de que no son necesarios.

También es importante supervisar qué comportamientos de riesgo se están detectando en su entorno de TI.

Esto podría ser algo simple como un inicio de sesión desde una nueva ubicación o algo más complejo como una vulnerabilidad sin parchear o un presunto malware.

Esto le dará una idea de los mayores riesgos y, por asociación, qué políticas puede implementar para mitigarlos.

Por lo general, esta información está disponible a través de la mayoría de los productos PASM estándar a través de la funcionalidad de “supervisión de sesiones”.