Acceso de menor privilegio

Cómo funciona el acceso moderno con privilegios mínimos

La aplicación de los privilegios mínimos requiere la capacidad de restringir el acceso a los recursos corporativos en función de la función de un usuario, dispositivo o aplicación dentro de una organización. Los componentes clave de una estrategia de gestión de acceso con mínimos privilegios incluyen la autenticación de identidades, la segmentación y el seguimiento de la postura de seguridad del dispositivo.

#1. Autenticación de identidad

Limitar el acceso de los usuarios a lo que necesitan para su trabajo requiere saber quién es el usuario y cuál es su rol dentro de la organización. El primer paso para implementar el privilegio mínimo es autenticar firmemente a un usuario. A partir de ahí, las solicitudes de acceso de un usuario a los recursos corporativos se pueden aprobar o denegar en función de los controles de acceso basados en roles.

#2. Segmentación

Los controles de acceso solo son útiles si se aplican, lo que significa que las solicitudes pasan a través de un sistema de gestión de acceso. Aunque los permisos pueden gestionarse mediante los sistemas de permisos integrados en los dispositivos, este enfoque es complejo de gestionar y no es escalable. Una opción más escalable es segmentar la red y limitar el acceso a través de los límites de los segmentos. Del mismo modo, las redes privadas virtuales (VPN) amplían el acceso al segmento rojo a los trabajadores remotos. 

Sin embargo, para implantar el acceso de mínimo privilegio en línea con los principios de confianza cero, una organización necesita la capacidad de crear límites de aplicación contra cada aplicación individual, base de datos, etc.  Acceso de red Zero Trust (ZTNA) ofrece la posibilidad de hacerlo a escala sin necesidad de administrar sistemas de permisos independientes e integrados ni de permitir un amplio acceso a segmentos enteros de la red mediante una serie de cortafuegos de última generación (NGFW) y VPN.

#3. Postura del dispositivo

El acceso con privilegios mínimos no debe limitarse a las cuentas de usuario. Restringir el acceso de los dispositivos a los recursos corporativos puede ayudar a limitar los impactos de los dispositivos infectados.

Antes de permitir que los dispositivos se conecten a la red corporativa, deben ser inspeccionados para garantizar que cumplen las políticas de seguridad corporativas y que están limpios de infecciones. Esta inspección debe realizarse continuamente para evaluar el nivel de riesgo que presenta el dispositivo. El nivel de acceso permitido al usuario y al dispositivo puede entonces basarse en la postura de seguridad actual del dispositivo.

Cómo implementar el privilegio mínimo en su organización

Se puede implementar y aplicar una política de administración de acceso con privilegios mínimos a través de estos pasos:

• Administrar identidades: Implementar el mínimo privilegio de forma coherente en toda la organización requiere la capacidad de rastrear y gestionar las identidades de los usuarios en varias aplicaciones y entornos dentro de la red corporativa. Para ello, es necesario implementar un proveedor de identidades (IDP).
• Implemente ZTNA: Los servicios de ZTNA proporcionan acceso a los recursos corporativos al tiempo que aplican una estrategia de seguridad de confianza cero. Esto permite a una organización aplicar su política de acceso con privilegios mínimos.
• Definir permisos: Los permisos de usuario deben definirse para restringir el acceso en función del rol de un usuario dentro de la organización. Esto incluye limitar el acceso privilegiado y permitir que los usuarios accedan solo a los recursos necesarios para hacer su trabajo.
• Supervise la postura de seguridad del dispositivo: Además de gestionar los permisos de los usuarios, las organizaciones también deben desplegar soluciones que puedan supervisar la postura de seguridad actual de un dispositivo. Esto permite restringir el acceso a los dispositivos que no cumplen con la política corporativa y que están potencialmente infectados por malware.