Ciberseguridad
Cuando la gente imagina un incidente de seguridad, imagina a un atacante desde fuera. Un email de phishing. Un zero-day. Alguien muy listo, en algún sitio lejano, atravesando el perímetro.
La realidad, en el tipo de empresas que auditamos cada semana, es mucho más aburrida. La brecha más común la causa un usuario interno con más accesos de los que jamás necesitó.
El mínimo privilegio dice una cosa: cada persona debe tener acceso únicamente a lo que necesita para hacer su trabajo. Ni más, ni menos.
Se repite en todos los marcos de seguridad. NIS2, ISO 27001, ENS, CIS Controls. Todo el mundo asiente. Casi nadie lo aplica.
Lo que de verdad nos encontramos auditando:
Nadie lo configuró así con mala intención. Tampoco lo revisó nadie.
Cuando ocurre un incidente — phishing, fuga de credenciales, portátil comprometido, rescate — la pregunta que determina el tamaño del impacto no es "¿cómo entraron?". Es "¿qué pudieron hacer una vez dentro?".
Un atacante que aterriza en un entorno bien segmentado choca contra una pared. Un atacante que aterriza en un entorno con exceso de permisos encuentra una autopista.
La misma credencial comprometida en dos empresas diferentes produce dos historias completamente distintas — y dos facturas de remediación completamente distintas — dependiendo de lo que ese usuario estaba autorizado a tocar.
No lo pienses como un ejercicio teórico. Piénsalo como un simulacro de incendio.
¿Sabes exactamente qué puede hacer cada usuario dentro de tus sistemas?
Si la respuesta tarda más de unos segundos, ya tienes tu próxima auditoría pendiente.
En AP Interactive auditamos la gestión de identidades y accesos como parte de nuestras revisiones de seguridad — cubriendo Active Directory, IAM cloud, permisos a nivel aplicación y cuentas de servicio. No te vendemos una herramienta: te decimos exactamente dónde están los huecos y cómo es el plan de limpieza.
Si nunca has hecho una auditoría de permisos, o si la última fue hace más de un año, escríbenos. El primer hallazgo suele sorprender. Los diez siguientes suelen ser obvios cuando los ves.
Significa que cada persona debe tener acceso únicamente a lo que necesita para hacer su trabajo — ni más, ni menos. Es un requisito en todos los marcos de seguridad relevantes, incluyendo NIS2, ISO 27001, el ENS español y CIS Controls. En la práctica, la mayoría de empresas configuran accesos amplios por defecto y rara vez los revisan después.
Cuando ocurre un incidente — phishing, fuga de credenciales, portátil comprometido — el tamaño del daño depende de a qué podía llegar esa cuenta, no de cómo entró el atacante. La misma credencial comprometida produce resultados muy distintos en un entorno bien segmentado frente a uno con exceso de permisos.
Accesos basados en rol mapeados a la función real del puesto, no copiados de un compañero; revisiones trimestrales firmadas por el propietario del dato, no solo por IT; bajas atadas automáticamente a Recursos Humanos para que la cuenta se desactive el mismo día que termina el contrato; cuentas separadas para tareas privilegiadas y del día a día; y cuentas de servicio con propietario, documentadas y rotadas como cualquier otra identidad.