Tema 10
Definir quién puede hacer qué no alcanza. También hay que preguntarse cuánto acceso necesita realmente, durante cuánto tiempo y qué combinaciones de permisos resultan peligrosas. El diseño moderno de autorización no busca solo habilitar tareas, sino reducir superficie de abuso y limitar el impacto de errores o compromisos.
Muchos incidentes graves no ocurren porque un atacante obtuvo “todos” los permisos desde el inicio, sino porque encontró una cuenta con más privilegios de los necesarios o pudo combinar accesos que nunca debieron convivir en una misma identidad. Eso convierte al diseño de privilegios en un problema central de seguridad.
En este tema veremos tres principios estrechamente relacionados:
Estos principios no son meras recomendaciones abstractas. Son herramientas concretas para reducir impacto si una cuenta se compromete, si un usuario comete un error o si un proceso de negocio se diseña sin controles cruzados suficientes.
El principio de mínimo privilegio establece que una identidad debería recibir únicamente los permisos necesarios para cumplir su función y nada más. Esa necesidad debe evaluarse en alcance, tipo de acción y tiempo de uso.
En otras palabras, no basta con preguntar “¿puede trabajar?”. También hay que preguntar:
El privilegio mínimo busca que la respuesta a estas preguntas sea lo más restringida posible sin impedir la operación legítima.
Un permiso amplio puede parecer cómodo en el corto plazo porque reduce fricción administrativa, pero aumenta mucho el riesgo acumulado. Si una cuenta es comprometida, el atacante hereda ese exceso de capacidad. Si el usuario se equivoca, el daño posible también crece.
Los privilegios excesivos suelen amplificar:
Aplicado a usuarios humanos, este principio implica evitar cuentas con más capacidades de las necesarias para su puesto real. Algunos ejemplos prácticos:
Esto parece evidente, pero en la práctica muchas organizaciones entregan roles amplios “por las dudas”, para evitar tickets futuros. Ese hábito es uno de los principales enemigos del control de acceso sano.
Las cuentas no humanas merecen atención especial. Servicios, pipelines, bots, jobs y microservicios suelen operar sin supervisión humana directa y a veces con privilegios muy altos. Si una credencial de este tipo se expone, el impacto puede ser enorme.
Aplicar privilegio mínimo aquí implica:
Uno de los errores más frecuentes es interpretar mínimo privilegio como sinónimo de incomodidad o rigidez extrema. El objetivo no es entorpecer el trabajo, sino conceder acceso de forma precisa.
Un diseño maduro busca equilibrio: suficiente acceso para operar con eficiencia, pero no tanto como para transformar cada identidad en un punto de alto impacto. Este equilibrio exige conocimiento del negocio y revisión continua, no solo políticas genéricas.
La segregación de funciones, o Separation of Duties (SoD), consiste en evitar que una misma identidad concentre capacidades que, combinadas, generan un riesgo excesivo. La idea es introducir controles cruzados para que una acción sensible no dependa de una sola persona o cuenta con poder total.
Este principio es clave en finanzas, administración de sistemas, gobierno corporativo y procesos regulados, pero también aplica en productos digitales comunes.
Algunos ejemplos típicos de combinaciones problemáticas son:
La clave no está solo en cada permiso aislado, sino en la combinación de permisos dentro del mismo sujeto.
La segregación de funciones puede implementarse de al menos dos maneras:
La SoD estática es más fácil de entender y auditar. La dinámica puede ser más flexible, pero exige mayor control contextual y mejor trazabilidad.
Ambos principios están relacionados, pero no son equivalentes. El privilegio mínimo busca reducir amplitud de acceso. La segregación de funciones busca evitar combinaciones peligrosas de poder.
Una cuenta podría tener pocos permisos en cantidad y aun así concentrar una combinación riesgosa. Del mismo modo, una cuenta podría no violar SoD formal, pero seguir teniendo demasiado alcance general. Por eso ambos principios se complementan.
El acceso just-in-time consiste en conceder privilegios elevados solo cuando realmente se necesitan y durante una ventana temporal acotada. En lugar de dejar permisos críticos activos de forma permanente, se habilitan bajo demanda y con expiración explícita.
Este enfoque resulta especialmente útil para accesos administrativos, tareas excepcionales y operación privilegiada de infraestructura.
La lógica es simple: si una identidad no necesita privilegios altos el 95% del tiempo, no tiene sentido dejarlos disponibles el 100% del tiempo.
JIT reduce riesgo por varios motivos:
Además, al combinarse con aprobación o step-up authentication, JIT introduce una capa adicional de control sobre operaciones críticas.
Estos casos muestran que JIT no es solo una idea de gobernanza; también es una práctica técnica concreta para reducir credenciales privilegiadas persistentes.
El acceso just-in-time suele apoyarse en credenciales efímeras: tokens, certificados o permisos temporales con vencimiento corto. Esto es especialmente útil en cloud, infraestructura y automatización.
En lugar de secretos permanentes almacenados durante meses, se emiten capacidades de corta vida y alcance controlado. Si se exponen, la ventana de explotación es mucho menor. Esta idea conecta directamente con los principios de Zero Trust y modernización del acceso privilegiado.
En muchos contextos, JIT funciona mejor cuando la elevación de privilegio no es totalmente silenciosa. Puede requerir:
No todos los sistemas necesitan esta formalidad, pero en entornos sensibles ayuda a conectar seguridad técnica con gobernanza operativa.
Aplicar mal privilegio mínimo, SoD o JIT también genera problemas. Algunos ejemplos:
Estos principios agregan valor cuando se integran al modo real de trabajo, no cuando se quedan en un documento idealizado.
Estas señales suelen indicar deuda de gobierno de acceso, incluso si el sistema “funciona” desde el punto de vista operativo.
Privilegio mínimo y segregación de funciones aparecen con frecuencia en marcos de cumplimiento porque ayudan a demostrar control interno razonable. Pero su valor no depende solo de auditores o regulaciones.
Desde el punto de vista de riesgo, estos principios reducen:
Por eso conviene verlos como parte de la arquitectura de seguridad, no solo como requisitos de compliance.
Una buena autorización no consiste solo en permitir o denegar. También consiste en limitar, separar y acotar el poder que cada identidad acumula a lo largo del tiempo. Mínimo privilegio, segregación de funciones y acceso just-in-time son herramientas esenciales para lograrlo y para convertir el control de acceso en una verdadera reducción de riesgo.
En el próximo tema entraremos en IAM: aprovisionamiento, desprovisionamiento y ciclo de vida de identidades, porque muchos problemas de privilegios nacen y persisten por fallas en cómo se crean, cambian y retiran accesos.