El permiso que nadie usa
Una identidad recibe permisos amplios para resolver algo urgente. El problema se resuelve; los permisos se quedan. Una aplicación se despliega con un rol de administrador "para que funcione" y nadie lo vuelve a revisar. Al cabo de un año, la mayoría de las identidades tienen muchos más permisos de los que necesitan.
Mientras nada pase, no se nota. Cuando una de esas identidades se ve comprometida, el atacante hereda todo lo que tenía, no solo lo que usaba.
Asignado frente a usado
Las nubes registran qué acciones realiza cada identidad. Comparando lo asignado con lo usado en un periodo (por ejemplo, 90 días) aparece la distancia real:
- Permisos nunca usados: candidatos claros a retirarse.
- Identidades sin actividad: cuentas que se pueden desactivar.
- Permisos amplios donde bastaría uno concreto: acceso a todo el almacenamiento cuando solo se usa una carpeta.
Reducir sin romper
Retirar permisos da miedo, porque algo puede dejar de funcionar. Se hace por pasos:
- Empezar por lo inequívoco: identidades inactivas y permisos nunca usados en mucho tiempo.
- Reducir con aviso: se comunica al dueño qué se va a retirar y cuándo.
- Vigilar después: si algo falla por falta de un permiso, se ve en los registros y se concede de forma acotada.
- Repetir con calendario, no una sola vez.
Lo que ya resuelve el gobierno
La base está en otras piezas de la serie de Gobierno: una identidad única, roles definidos una vez y permisos delicados que se piden y caducan solos. El mínimo privilegio "de verdad" es lo que se añade encima: medir la distancia entre lo asignado y lo usado, y cerrarla con regularidad.
Las identidades son una puerta. La otra, cada vez más usada, es el propio software: lo que se escribe y, sobre todo, lo que se importa.
Cómo lo aplicamos: Ciberseguridad.