Las cuentas de administrador son el objetivo más valioso para un atacante. Una vez comprometidas, el atacante tiene acceso total. La gestión de accesos privilegiados no es lujo de empresas grandes.
La llave maestra
En cualquier organización, hay cuentas que lo pueden todo: instalar software, acceder a todos los archivos, cambiar configuraciones, crear y eliminar usuarios, ver los respaldos. Son las cuentas de administrador.
Para un atacante, comprometer una cuenta privilegiada no es el objetivo final — es el punto de partida. Con acceso administrativo, puede moverse lateralmente sin restricciones, instalar herramientas de persistencia, exfiltrar datos, y borrar evidencia.
El error más común: cuentas admin siempre activas
En la mayoría de las PYMEs que auditamos, encontramos el mismo patrón: el administrador de TI tiene una cuenta de dominio con privilegios administrativos que usa para todo, incluyendo navegación web y correo electrónico.
Esto significa que si ese empleado cae en un phishing y descarga malware, el malware hereda todos sus privilegios administrativos. El atacante tiene acceso total desde el primer momento.
El principio de separación de cuentas
La práctica básica: cada persona con responsabilidades administrativas debe tener dos cuentas separadas.
Cuenta estándar: para el trabajo diario — correo, navegación, documentos. Sin privilegios administrativos.
Cuenta de admin: solo para tareas administrativas específicas. Debe tener MFA habilitado, una contraseña diferente y robusta, y ser usada solo cuando la tarea lo requiere.
Si el malware infecta la sesión estándar, no tiene acceso a los sistemas críticos. El daño queda contenido.
Principio de mínimo privilegio en la práctica
No toda cuenta administrativa necesita los mismos privilegios. Un técnico de soporte que resetea contraseñas no necesita acceso al servidor de respaldos. Un desarrollador que despliega código no necesita acceso a la base de datos de producción.
Definir el mínimo conjunto de permisos necesarios para cada rol y asignar solo esos permisos es más efectivo que cualquier herramienta de seguridad que se instale después.
Just-in-Time Access: acceso cuando se necesita
El modelo más robusto — que las empresas más maduras usan — es el acceso just-in-time: las cuentas privilegiadas no existen permanentemente. Se crean bajo demanda, con un tiempo de vida definido (4 horas para completar la tarea), y se eliminan automáticamente al vencer.
El atacante que compromete credenciales de una cuenta JIT descubre que el acceso ya expiró.
Revisión periódica de accesos
Las cuentas administrativas se acumulan con el tiempo: empleados que se van sin que se revoquen sus accesos, servicios que se integran con permisos amplios y nunca se revisan, proveedores externos con acceso temporal que nunca se elimina.
Una revisión trimestral de todas las cuentas con privilegios elevados, eliminando las que no son necesarias, es una de las medidas de mayor impacto con menor costo en la gestión de seguridad.