La brecha de seguridad silenciosa, la trampa de los privilegios

Las grandes brechas de seguridad no comienzan con un ataque sofisticado, inician con privilegios excesivos que nadie revisó adecuadamente.

La gestión de accesos o perfiles busca garantizar que los deberes y responsabilidades dentro de la organización estén adecuadamente segregados, no es solo “ver quién ingresa al sistema”, sino de validar si los permisos asignados están acorde a las funciones del usuario, los riesgos del proceso y las políticas internas de seguridad, para evitar conflictos de intereses y mantener la integridad de las operaciones.

El establecimiento de perfiles debe tener al menos cuatro objetivos principales, que son:

• Confirmar, que solo personas autorizadas tengan acceso a los sistemas y datos.
• Verificar, que el nivel de acceso sea congruente con el rol y la función del usuario.
• Detectar y corregir accesos obsoletos, duplicados o sin justificación alguna.
• Aportar evidencia ante auditorías internas, externas o regulatorias.

La implementación debe apoyarse en algunos principios como:

• Privilegio mínimo: se debe contar únicamente con el privilegio necesario para sus funciones, cualquier permiso adicional se debe justificar, aprobar y quedar debidamente documentado.
• Necesidad de saber: el acceso a información sensible o confidencial se debe otorgar únicamente a quien la requiera para realizar tareas específicas, y por el tiempo estrictamente necesario.
• Segregación de funciones: busca evitar permisos que permitan a una misma persona ejecutar un proceso de principio a fin sin controles cruzados (por ejemplo, crear un proveedor y aprobar pagos).
• Trazabilidad: el alta, modificación y baja de accesos debe quedar respaldado por evidencia (solicitudes, aprobaciones, tiquetes, registros) que permita identificar quién autorizó qué y cuándo.
• Mantener matrices de roles/perfiles bien documentados, de modo que el negocio entienda qué implica aprobar cada permiso.
• Revisión periódica formal: las revisiones no pueden ser esporádicas o informales; requieren una frecuencia definida, responsables claros y resultados documentados.
• Integrar el proceso de gestión de identidades con recursos humanos, de forma que altas, movimientos y bajas disparen automáticamente revisiones o ajustes.
• Medir el desempeño del proceso: porcentaje de accesos ajustados tras la revisión, tiempos de cierre, reincidencia de hallazgos, etc.

Contar con un proceso maduro de revisiones periódicas privilegios o perfiles se convierte un mecanismo de control preventivo y de detección, ayudando a reducir el riesgo de fraude, de fuga de información y de errores operativos por privilegios incorrectamente gestionados.

Jean Paul Gutiérrez, Gerente de Riesgo y Ciberseguridad de Grant Thornton