Un proveedor de servicios en la nube prestaba servicios gestionados a una institución financiera, lo que requería que sus ingenieros de soporte tuvieran acceso administrativo al entorno en la nube de la institución para la respuesta a incidentes y el mantenimiento. El acceso se aprovisionó como acceso permanente: los ingenieros de soporte tenían credenciales de administrador persistentes, válidas de forma continua, que les permitían atender problemas en cualquier momento sin demoras de aprovisionamiento. El equipo de seguridad de la institución financiera había revisado el acuerdo y había señalado que los ingenieros de soporte necesitaban disponibilidad 24/7. Cuando un examinador regulatorio de servicios financieros revisó el acuerdo durante un examen de cumplimiento, hizo una pregunta sencilla: ¿cuántas horas al mes usan realmente los ingenieros de soporte su acceso de administrador? La institución se lo preguntó al proveedor. La respuesta fue aproximadamente cuatro horas al mes, entre las ventanas de mantenimiento mensuales y la respuesta ocasional a incidentes. El examinador señaló que las credenciales de administrador permanentes existían y eran válidas durante aproximadamente setecientas dieciséis horas al mes en las que no se usaban. Podían explotarse durante esas setecientas dieciséis horas. La justificación de negocio del acceso de administrador 24/7 era la disponibilidad para responder a incidentes. La exposición real de las credenciales era de setecientas dieciséis horas al mes de acceso persistente, de alto privilegio y sin usar.
¿Cuál es realmente el problema del JIT frente al acceso permanente?
El acceso justo a tiempo es un modelo de acceso privilegiado en el que las credenciales elevadas se aprovisionan cuando se necesitan para una tarea específica y se revocan automáticamente cuando la tarea se completa o vence un período definido. El acceso permanente es un modelo en el que las credenciales privilegiadas persisten indefinidamente: la credencial es válida de forma continua, independientemente de que el privilegio se esté usando en ese momento. Ambos modelos ofrecen la misma capacidad funcional cuando el privilegio está en uso. Difieren por completo en el perfil de riesgo durante los períodos en que el privilegio no está en uso.
El acceso privilegiado permanente crea lo que los profesionales de la seguridad llaman «superficie de ataque en reposo»: credenciales válidas y de alto privilegio que existen y pueden explotarse durante cada hora en que no se usan, que en la mayoría de los casos es la inmensa mayoría del tiempo. Un ingeniero de soporte que usa su acceso de administrador cuatro horas al mes tiene credenciales de administrador permanentes que pueden explotarse durante setecientas dieciséis horas al mes. Las credenciales pueden verse comprometidas mediante phishing, relleno de credenciales o un ataque a la cadena de suministro durante cualquiera de esas setecientas dieciséis horas, lo que proporciona al atacante un acceso de administrador que puede ejercer de inmediato sin ninguna acción adicional.
El acceso justo a tiempo elimina por diseño de la arquitectura la superficie de ataque en reposo: no hay ninguna credencial persistente que comprometer, porque la credencial no existe hasta que se solicita. Un atacante que compromete un sistema de acceso JIT obtiene acceso al mecanismo de aprovisionamiento, no a una credencial de administrador válida. La complejidad del ataque contra los sistemas de acceso JIT es mucho mayor que la de comprometer una credencial permanente: el atacante debe comprometer el flujo de aprovisionamiento, no solo el almacén de credenciales. La ventana de exposición del acceso JIT es la duración de la sesión activa. La ventana de exposición del acceso permanente es indefinida.
- Credenciales permanentes que pueden comprometerse fuera de los períodos de uso: credenciales de administrador válidas que pueden explotarse durante todas las horas en que no se usan
- Valor del robo de credenciales: las credenciales de administrador permanentes tienen un valor de explotación inmediato; las credenciales JIT requieren comprometer el flujo de aprovisionamiento
- Movimiento lateral a partir de credenciales permanentes: el acceso de administrador permanente en un sistema puede usarse para establecer persistencia y pivotar hacia otros sistemas
- Credenciales permanentes huérfanas: acceso de administrador permanente que persiste después de que termina la necesidad operativa, como se documenta en el artículo sobre la proliferación de administradores
- Evolución de las expectativas regulatorias: los reguladores esperan cada vez más JIT o acceso privilegiado limitado en el tiempo en lugar de acceso de administrador permanente
Por qué es importante
El JIT frente al acceso permanente es relevante para TPRM porque los acuerdos de soporte y de servicios gestionados con proveedores suelen implicar un acceso privilegiado permanente a los entornos de los clientes, un acceso que se aprovisionó por disponibilidad y que representa una exposición continua de credenciales durante toda la relación con el proveedor. La comodidad del acceso permanente para el proveedor es real: sus ingenieros pueden responder de inmediato sin pasos de aprovisionamiento. El costo en riesgo es igual de real: credenciales de administrador válidas para el entorno del cliente en el sistema de gestión de credenciales de un proveedor, de forma continua, durante toda la relación.
La amplificación de los ataques a la cadena de suministro es la dimensión de riesgo específica que convierte el JIT frente al acceso permanente en una cuestión de TPRM y no solo de seguridad interna. Cuando un proveedor se ve comprometido (por una violación de sus propios sistemas, un ataque de phishing a su personal o el compromiso de la cadena de suministro de sus herramientas), el acceso del atacante a los entornos de los clientes depende de las credenciales que tenga el proveedor. Un proveedor con acceso de administrador permanente a decenas de entornos de clientes es un objetivo de ataque a la cadena de suministro mucho más valioso que un proveedor que usa acceso JIT, porque comprometerlo proporciona acceso inmediato a todos los entornos para los que tiene credenciales permanentes.
Para los profesionales de TPRM, la cuestión del JIT frente al acceso permanente es cada vez más una expectativa regulatoria, en particular en los servicios financieros. Los examinadores de las instituciones supervisadas por FFIEC preguntan si el acceso privilegiado de los proveedores se implementa mediante mecanismos JIT, y los acuerdos de acceso permanente se consideran cada vez más brechas de gobernanza que requieren una justificación específica, en lugar del enfoque predeterminado.
Dónde se equivocan la mayoría de los equipos
La falla más constante es aceptar los requisitos de disponibilidad como justificación del acceso permanente sin evaluar si el acceso JIT puede cumplir esos mismos requisitos de disponibilidad. En la mayoría de los escenarios de servicios gestionados y de soporte de proveedores, los sistemas de acceso JIT pueden aprovisionar acceso de administrador en un plazo de dos a cinco minutos, muy dentro de los requisitos de tiempo de respuesta de todos los escenarios de incidente salvo los más críticos. La justificación de negocio del acceso permanente merece el mismo escrutinio que la de cualquier otra excepción de seguridad.
- Aceptar la disponibilidad como justificación automática del acceso permanente
- No evaluar alternativas de JIT: tiempo de aprovisionamiento JIT frente a requisitos de respuesta a incidentes
- No cuantificar la exposición del acceso permanente: horas de exposición de credenciales al mes como métrica de riesgo
- Sin límite de tiempo para el acceso permanente: credenciales permanentes aprovisionadas sin duración ni vencimiento definidos
- Acceso permanente de servicios gestionados tratado como estándar: norma del sector en lugar de cuestión de gobernanza
Cómo se ve una buena práctica
Los programas maduros de acceso JIT proporcionan acceso privilegiado mediante flujos de aprovisionamiento automatizados que requieren una intervención humana mínima, lo que permite aprovisionar el acceso en minutos para necesidades legítimas y, al mismo tiempo, elimina la exposición de credenciales permanentes. Las plataformas de PAM con capacidades de JIT pueden proporcionar acceso de emergencia en menos de sesenta segundos mediante flujos de acceso de emergencia (break-glass).
- Acceso JIT como opción predeterminada para todo acceso privilegiado de proveedores: el acceso permanente requiere una justificación de excepción documentada
- Flujos de aprovisionamiento automatizados: solicitudes de acceso aprobadas y aprovisionadas en menos de cinco minutos para las necesidades operativas estándar
- Procedimientos de acceso de emergencia (break-glass): acceso inmediato disponible mediante un flujo acelerado para emergencias reales
- Límites de tiempo de sesión: sesiones JIT aprovisionadas con una duración máxima y revocadas automáticamente al vencer
- Monitoreo del uso del acceso: sesiones de acceso JIT registradas con su duración y las acciones realizadas
Herramientas
PAM con JIT: CyberArk, BeyondTrust, Delinea
Dynamic Privileged Access de CyberArk proporciona acceso de administrador JIT mediante flujos de aprobación automatizados: el acceso se solicita, se aprueba conforme a políticas, se aprovisiona y se revoca automáticamente al finalizar la sesión o al vencer el plazo. Privileged Remote Access de BeyondTrust proporciona acceso remoto seguro a los proveedores con aprovisionamiento de sesiones JIT, grabación de sesiones y rotación automática de credenciales. Para los profesionales de TPRM, preguntar si el acceso del proveedor al entorno del cliente usa una plataforma de PAM con aprovisionamiento JIT constituye la pregunta más directa sobre el modelo de acceso.
Acceso remoto de confianza cero: Cloudflare Access, Zscaler Private Access
Las plataformas de acceso de confianza cero proporcionan acceso remoto a los proveedores mediante túneles específicos por aplicación y con identidad verificada, en lugar de un acceso amplio a la red, de forma funcionalmente similar al acceso JIT, ya que el acceso se concede por sesión mediante un motor de políticas y no mediante credenciales VPN persistentes. Para los profesionales de TPRM, preguntar si el acceso remoto de los proveedores usa controles de acceso de confianza cero o credenciales VPN persistentes constituye una pregunta específica para diferenciar el modelo de acceso.
Desafíos de gobernanza
El desafío de gobernanza del JIT frente al acceso permanente es la transición operativa desde un modelo de acceso permanente que funciona de forma fiable hacia un modelo JIT que requiere inversión en infraestructura y cambios en los procesos operativos. Las organizaciones que han operado con acceso permanente en sus relaciones con proveedores pueden tener procesos de ingeniería, herramientas de monitoreo y flujos de respuesta que presuponen la disponibilidad de credenciales permanentes. La transición a JIT exige actualizar esos flujos y, posiblemente, invertir en una infraestructura de PAM que antes no existía.
- Cuantificar la exposición del acceso permanente: horas de validez de la credencial frente a horas de uso real
- Evaluar alternativas de JIT para todo acceso permanente de proveedores: tiempo de aprovisionamiento frente a requisito de disponibilidad
- Exigir JIT para el acceso de proveedores de mayor riesgo: administración de producción, acceso a datos financieros, gestión de infraestructura
- Documentar las excepciones de acceso permanente: justificación del acceso permanente cuando JIT no es viable
- Incluir la capacidad de JIT en las evaluaciones de seguridad de proveedores, especialmente en el caso de proveedores de servicios gestionados y de infraestructura
Si usted forma parte de un equipo pequeño
Calcule el índice de exposición de las credenciales permanentes en sus relaciones de acceso de proveedores de mayor riesgo: total de horas al mes en que la credencial es válida dividido entre las horas al mes en que la credencial se usa realmente. Para una credencial que se usa cuatro horas al mes con validez permanente, el índice de exposición es 180:1: la credencial puede explotarse durante un tiempo 180 veces mayor que el tiempo en que se usa. Ese índice, calculado para cada relación de acceso permanente de proveedores, ofrece una métrica de riesgo intuitiva que hace concreta la disyuntiva entre JIT y acceso permanente. Luego, pregunte si las alternativas de JIT podrían cumplir el requisito de disponibilidad en cada relación con un índice de exposición inaceptable.
- Calcular el índice de exposición de las credenciales permanentes en cada relación de acceso de proveedores
- Identificar las relaciones en las que JIT podría cumplir los requisitos de disponibilidad
- Exigir JIT para el acceso de administración de producción como estándar de seguridad para proveedores
- Documentar las justificaciones de las excepciones de acceso permanente en las relaciones en las que JIT realmente no sea viable
Qué exigir
Pregunte directamente:
«¿Usan aprovisionamiento de acceso justo a tiempo para su acceso administrativo a nuestro entorno o tienen credenciales de administrador permanentes que son válidas de forma continua, independientemente de que las estén usando activamente?»
«En cuanto al acceso de administrador permanente que tienen a nuestro entorno, ¿cuántas horas al mes se usan realmente esas credenciales? ¿Han evaluado el acceso JIT como alternativa que eliminaría la exposición de las credenciales permanentes?»
Evidencia que debe esperar
- Confirmación del acceso JIT o documentación de la justificación del acceso permanente
- Métricas de uso del acceso: horas de uso frente a horas de validez de la credencial
- Confirmación de la plataforma de PAM para el aprovisionamiento JIT
- Documentación del procedimiento de acceso de emergencia (break-glass)
Un proveedor que responde a la pregunta sobre el acceso permanente con «necesitamos disponibilidad 24/7 para la respuesta a incidentes» ha expuesto el requisito de disponibilidad. Pregunte concretamente cuántas horas al mes se usa realmente ese acceso y si un proceso de aprovisionamiento JIT con un tiempo de aprobación de cinco minutos cumpliría el requisito de respuesta a incidentes. El requisito de disponibilidad es el caso de uso. JIT es la cuestión de arquitectura. Son separables.
Cómo demostrarlo
- Registros de evaluación de JIT frente a acceso permanente para las relaciones de acceso privilegiado de proveedores
- Documentación de la justificación de las excepciones de acceso permanente
- Confirmación de la plataforma de PAM o del mecanismo JIT para el acceso privilegiado de proveedores
- Métricas de uso del acceso frente a la validez de las credenciales
Conclusión clave
El acceso privilegiado permanente es un riesgo que corre de forma continua. El acceso justo a tiempo es un riesgo que solo existe cuando el privilegio está en uso. La diferencia entre cuatro horas mensuales de acceso de administrador y setecientas dieciséis horas de validez de una credencial de administrador permanente son setecientas doce horas de superficie de ataque en reposo: exposición de credenciales sin ningún valor operativo correspondiente. JIT no reduce la disponibilidad del acceso. Reduce la disponibilidad de la credencial cuando el acceso no se está usando. En la mayoría de los escenarios de soporte de proveedores y de servicios gestionados, el tiempo de aprovisionamiento del acceso JIT es irrelevante desde el punto de vista operativo y la reducción del riesgo es considerable. El requisito de disponibilidad es legítimo. No exige una credencial continua. Exige acceso cuando se necesita. JIT proporciona acceso cuando se necesita. El acceso permanente proporciona una credencial todo el tiempo. Pregunte cuál de los dos usa el proveedor.