Principio de menor privilegio

 El principio de menor privilegio, también conocido como POLP (Principle of Least Privilege), es una regla de seguridad informática que establece que cada usuario o grupo de usuarios debe tener solo los permisos necesarios para realizar sus tareas. En otras palabras, cuanto menos poder tenga un usuario, menor será el riesgo de que cause daños a la empresa.

Representación de la seguridad y el control de acceso informático. Fuente: ¿Qué es el principio de mínimo privilegio (PoLP)?, por D. Calbimonte, 2025

El POLP es importante porque ayuda a proteger los sistemas y datos de la empresa de los ataques cibernéticos. Cuando un usuario tiene demasiados permisos, tiene más posibilidades de cometer errores o ser víctima de un ataque. Por ejemplo, un usuario con acceso a los servidores podría instalar malware o robar información confidencial.

Menor privilegio en la práctica

• ¿Qué pasa si un usuario necesita hacer algo que normalmente no puede hacer?

El principio de menor privilegio establece que cada usuario debe tener solo los permisos necesarios para realizar sus tareas. Esto ayuda a proteger los sistemas y datos de la empresa de los ataques cibernéticos. Sin embargo, hay casos en los que un usuario puede necesitar eludir las restricciones de seguridad para realizar alguna actividad no planificada. Por ejemplo, un usuario puede necesitar crear registros de un nuevo cliente. En estos casos, el administrador del sistema puede otorgarle al usuario acceso temporal a un rol con mayores privilegios.

• ¿Cómo se hace esto de manera segura?

Lo ideal sería que el administrador del sistema crease un trabajo que automáticamente agregue al usuario al rol y que después de un tiempo definido lo elimine del rol. Por ejemplo, el administrador podría darle al usuario privilegios durante dos horas y luego, automáticamente, quitarle los privilegios después de ese tiempo. Esto ayuda a garantizar que el usuario solo tenga acceso a los permisos necesarios durante el tiempo que los necesite.

• ¿Qué pasa con los grupos de usuarios?

En general, es más seguro otorgar permisos a grupos de usuarios que a usuarios individuales. Esto se debe a que es más difícil que un atacante comprometa a un grupo completo de usuarios que a un solo usuario. Por ejemplo, si Juan es contador, en lugar de otorgarle privilegios de crear plantillas a Juan, el administrador podría otorgarle esos privilegios al grupo de contadores.

• ¿Y los procesos o servicios?

El principio de menor privilegio también se aplica a los procesos y servicios. Si un proceso o servicio funciona con una cuenta, esa cuenta debe tener la menor cantidad de privilegios posible. Esto ayuda a reducir el daño que un atacante podría causar si compromete la cuenta.

Representación del control de privilegios de un usuario. Fuente: Cómo aplicar el principio de privilegio mínimo en los puntos finales, por A. D’Andrea, 2025

Cuentas Privilegiadas: Definición y Tipos

Las cuentas privilegiadas o super cuentas son esas cuentas que tienen acceso a todo. Estas cuentas tienen privilegios de administrador. Las cuentas son usadas generalmente por gerentes o por las personas de mayor rango jerárquico del equipo de TI. Se debe tener mucho cuidado con dichas cuentas. Si un hacker o un Malware logra acceder a estas contraseñas, es posible destruir todo el sistema operativo o toda la base de datos. La cantidad de usuarios con acceso a estas cuentas debe ser mínima. Normalmente solo el gerente de IT tendrá cuentas de super usuario con todos los privilegios y la alta gerencia tendrá amplios privilegios, pero en ningún caso privilegios totales.

En los sistemas operativos Linux y Mac por ejemplo el superusuario se denomina root. En el sistema Windows se le llama Administrador. Por ejemplo, nuestra cuenta de Windows por defecto no corre con todos los privilegios. Si deseamos ejecutar un archivo con cuentas de administrador, debemos presionar el botón derecho sobre el archivo ejecutable y seleccionar la opción Ejecutar como Administrador. Este privilegio de ejecutar como administrador solo se usa en casos especiales de instalación y no se debe usar en todo momento.

Para evitar que un hacker o una persona malintencionada acceda a estos usuarios se recomienda cumplir estas medidas de seguridad:

• Utiliza una contraseña compleja larga que mezcle mayúsculas, minúsculas, números y caracteres especiales.
• También trata de cambiar la contraseña de estos usuarios con regularidad. Por ejemplo, cambiar la contraseña cada mes o cada dos meses.
• No está de más utilizar un buen anti-virus para detectar y prevenir algún ataque y también poner un cortafuegos (firewall en inglés) para evitar ataques de desconocidos.
• Evita siempre abrir correos y archivos adjuntos de desconocidos o entrar a páginas web de dudosa confiabilidad. Estos ataques pueden vulnerar las cuentas. En lo posible, nunca navegar con supercuentas de usuario ni usar estas cuentas a menos de que sea necesario.

Cuentas Privilegiadas en la Nube

Hoy en día, gran cantidad de información se maneja en la nube. Cubriremos el manejo de cuentas en las principales plataformas como ser AWS, Azure de Microsoft y Google Cloud.

En AWS se utiliza el tipo de autenticación IAM (Identity and Access Management) que permite crear y administrar usuarios. También soporta la autenticación multifactor (MFA) que exige 2 formas para validar al usuario y así ingresar aumentando así la seguridad. En AWS existe un usuario root que es un super usuario con todos los privilegios. Con este usuario debemos crear otros usuarios y protegerlo usándolo lo menos posible.

Google Cloud también proporciona un sistema IAM y también el KMS (Servicio de manejo de claves) que permite administrar y manejar las claves. Dependiendo de la aplicación en la nube existen super usuarios administradores de las bases de datos, sistemas análisis, sitios web, IA y otros recursos.

Si por ejemplo, yo soy un usuario que solo necesito ver reportes de tablas de una base de datos, no necesito tener acceso a actualizar o insertar datos nuevos. Todos estos privilegios deben ser cuidadosamente planificados por el departamento de TI de seguridad.

Principio de Menor Privilegio y Buenas Prácticas

Para poder cumplir con los estándares es recomendable hacer una auditoría y verificar los privilegios de los usuarios y seguridad en general. Se puede hacer una verificación interna o una auditoría externa. Se pueden realizar pruebas de seguridad para ver si la empresa cumple esos estándares. A continuación muestro alguno de los estándares más conocidos:

• CIS es un Centro para la seguridad de la información. Contiene recomendaciones y buenas prácticas para proteger sistemas y datos a nivel mundial.
• NIST Cybersecurity Framework proporciona un marco de seguridad del Instituto Nacional de Estándares y Tecnología.
• SOC 2 proporciona un informe de evaluación de los controles de seguridad de una empresa u organización.

Cómo Implementar el Menor Privilegio de Manera Efectiva

Para incrementar la seguridad, hay que segmentar la red para reducir daños si nuestra seguridad se vulnera. Segmentar la red es dividir la red en pequeñas subredes. También se debe monitorear los privilegios otorgados a los usuarios. Finalmente se debe integrar las políticas de seguridad con las tecnologías para crear un plan administrativo de acuerdo al software que se tenga.

Para implementar el principio de otorgar accesos, se debe implementar el sistema propuesto en servidores de prueba. Se debe pedir al personal que por un tiempo haga pruebas de trabajos reales en el sistema. Una vez que se corrijan los errores o se solucionen las quejas de los usuarios, corresponde llevar el sistema a producción con los mínimos privilegios. Se recomienda un período de pruebas de por lo menos un mes donde los usuarios prueben el sistema y tengan a la mano el sistema antiguo. En la mayoría de las ocasiones conviven el sistema antiguo y el nuevo por meses hasta que se aprueba el sistema con nuevo con la seguridad de menor privilegio implementada.