Dos mitades de una misma disciplina
En el control de acceso, un sujeto es cualquier actor capaz de actuar en un sistema: la cuenta de un empleado, un administrador, un contratista, una cuenta de servicio o un proceso que actúa por cuenta de uno de ellos. Las dos palabras del término plantean preguntas distintas sobre ese sujeto.
La gestión de capacidades pregunta qué puede hacer técnicamente el sujeto. Se ocupa de asignar, revisar y revocar privilegios: roles, derechos sobre archivos y sistemas, permiso para usar medios extraíbles o instalar software, y elevación administrativa.
La gestión de comportamientos pregunta qué se le permite hacer. Se ocupa de las reglas de conducta: uso aceptable de canales y datos, restricciones para grupos definidos, condiciones para detener o marcar una acción y las consecuencias de incumplirlas.
Las dos mitades se limitan entre sí. Un sujeto puede tener la capacidad de exportar una base de datos de clientes y, aun así, tener prohibido hacerlo, porque ninguna política puede permitir lo que la capacidad subyacente niega. Los programas maduros gestionan la pareja en conjunto: la capacidad fija el techo del daño posible, y las reglas de comportamiento definen el corredor de acción aceptable por debajo.
| Dimensión | Gestión de capacidades | Gestión de comportamientos |
|---|---|---|
| Pregunta clave | ¿Qué puede hacer este sujeto? | ¿Qué se le permite hacer a este sujeto? |
| Objeto principal | Privilegios, roles, derechos, autorizaciones | Reglas de conducta y su aplicación |
| Instrumentos típicos | Mínimo privilegio, separación de funciones, revisión de accesos | Política de uso aceptable, restricciones, sanciones |
| Cuándo falla | Acumulación de privilegios, cuentas huérfanas | Reglas en el papel, aplicación inconsistente |
Por qué los programas de amenazas internas dependen de ello
La mayoría de los modelos de amenaza interna describen el riesgo como la combinación de motivación, oportunidad y capacidad. Las intenciones no se pueden leer, y la oportunidad está en el trabajo diario, porque las personas necesitan acceder a los datos para usarlos. El factor que se controla directamente es la capacidad, junto con el comportamiento que rodea su uso.
Reducir la capacidad no hace menos probable un incidente. Hace que el incidente que ocurra sea menor, más lento y más fácil de detectar. Así, la disciplina se ubica en el extremo preventivo de un programa de amenazas internas: funciona todos los días, mientras que la detección se juzga por eventos poco frecuentes.
La gestión de capacidades en la práctica
En la práctica, el trabajo es un ciclo de vida y no un bloqueo único. Muchos equipos mantienen los grupos en un servicio de directorio, para que las revisiones partan de una sola lista de cuentas.
| Control | Qué significa |
|---|---|
| Mínimo privilegioAcceso acorde a las funciones actuales | Cada sujeto mantiene solo el acceso que exigen sus funciones, y únicamente mientras duren. |
| Separación de funcionesSin aprobador único | Ningún sujeto crea y aprueba solo una acción crítica. También se revisan las combinaciones de privilegios, no solo los derechos aislados. |
| Aprovisionamiento y recertificaciónAprobador nombrado, revisión periódica | El acceso se concede con un aprobador nombrado, lo reconfirma su responsable y se revoca al cambiar de rol. |
| Cuentas privilegiadas y de servicioElevación limitada en el tiempo | La elevación administrativa tiene límite de tiempo y de alcance, y queda registrada. Las cuentas de servicio se inventarían y sus credenciales se rotan. |
| Sujetos no humanosProcesos y automatizaciones | Los procesos y automatizaciones reciben un conjunto explícito, mínimo y revisable de capacidades. |
Dónde se sitúa entre otros controles
La gestión de capacidades y comportamientos es preventiva, y sus vecinos cubren lo que no puede ver. La gestión de identidades y accesos aporta la infraestructura: directorios, grupos y flujos de aprobación. El análisis de comportamiento observa la conducta frente a líneas base y reglas declaradas, y la prevención de pérdida de datos (DLP) aplica las reglas a nivel de contenido, sea quien sea el titular del privilegio.
La división del trabajo importa en ambos sentidos. El monitoreo sin límites de capacidad genera alertas sin contención, porque una violación confirmada deja al sujeto en condiciones de repetirla. Los límites sin observación generan contención silenciosa, porque nadie se entera de cuándo se prueban las reglas. La investigación y la respuesta entran en acción cuando aparece una señal.
Cómo se ve en Anexet
En la consola de Anexet, los derechos se definen por grupo de usuarios. La pestaña de privilegios muestra los módulos que pueden abrir los miembros del grupo, y la vista de derechos indica qué grupo concede cada acceso, así que un permiso inesperado se puede rastrear hasta su origen.
1 / 2
La gestión de comportamientos en la práctica
La gestión de comportamientos empieza en el papel y termina en la aplicación. Una regla publicada que nadie aplica crea una apariencia de control, no control:
- 1
Definir reglas de uso aceptable
Define qué canales, datos y acciones son normales en el trabajo, en una política que los sujetos conozcan y acepten.
- 2
Añadir restricciones técnicas
Donde el comportamiento se encuentra con la capacidad: condiciones de bloqueo, canales desactivados para grupos definidos, cuarentena de acciones fuera de política.
- 3
Aplicar consecuencias predecibles
Usa sanciones proporcionales y aplicadas de forma consistente. La disuasión depende más de la consistencia que de la severidad.
- 4
Observar frente a las reglas
Compara lo que los sujetos hacen realmente con lo que permiten las reglas, para que las violaciones aparezcan como eventos.
- 5
Orientar y reforzar
La capacitación, los ejemplos claros y el reconocimiento de las buenas prácticas moldean la conducta, no solo castigan su ausencia.
Límites y contrapartidas
Los modos de fallo son predecibles. Las capacidades más estrictas de lo que exige el trabajo frenan tareas comunes y crean colas de excepciones. Si quedan demasiado sueltas, se acumulan en acumulación de privilegios. Las reglas de conducta aplicadas de forma selectiva pierden sentido más rápido que las reglas inexistentes, porque enseñan que la aplicación es arbitraria.
La observación del comportamiento se solapa con el monitoreo de empleados y hereda sus límites legales: proporcionalidad, transparencia, limitación de finalidad y, en muchas jurisdicciones, consulta con los representantes de los trabajadores. Reduce el impacto, pero no elimina el riesgo, por eso los programas la combinan con detección y respuesta.
Un sujeto que actúa dentro de los derechos concedidos todavía puede causar daño. Combina estos controles con detección y respuesta.
Por dónde empezar
Empieza por los datos que más daño causarían si salieran y luego mapea las capacidades y los canales que llegan hasta ellos. Las políticas escritas para cada archivo y cada privilegio a la vez terminan bloqueando el trabajo y se desactivan.
Lectura recomendada: Profiling.
La capacidad decide qué puede pasar. Las reglas de comportamiento deciden qué debe pasar. Ambas necesitan un responsable.
Anexet Team