Cómo gestionar las solicitudes de credenciales compartidas sin incumplir la política de seguridad

En los entornos de TI actuales, la gestión de credenciales va más allá de las contraseñas. Los MSP también suelen asumir la gestión de cuentas privilegiadas, la aplicación de MFA, la gestión de secretos y la atención de solicitudes de acceso (por ejemplo, de acceso compartido). En esta guía aprenderás un flujo de trabajo fiable para que un MSP gestione las solicitudes de credenciales compartidas sin incumplir las políticas de seguridad.

Proceso en cinco pasos para gestionar credenciales compartidas

Compartir credenciales siempre conlleva riesgos, pero a veces resulta necesario para que el negocio siga funcionando, sobre todo en las pequeñas y medianas empresas (pymes).

Para equilibrar la continuidad del negocio y la seguridad, estos son algunos requisitos previos que cubren el proceso de validar y atender las solicitudes:

• Políticas de seguridad y de control de acceso claras y por escrito
• Herramientas de gestión de credenciales o gestores de contraseñas (como Keeper o LastPass)
• Roles definidos para la revisión y aprobación de solicitudes (por ejemplo, responsable de servicio o propietario del cliente)
• Un sistema de gestión de tickets capaz de registrar y documentar las solicitudes de credenciales

💡 Nota: los requisitos pueden variar según los sistemas, las políticas y las necesidades del negocio.

Posibles casos de uso de las credenciales compartidas

Puede que un cliente necesite acceso elevado, o un MSP con un equipo de técnicos que dependen de un acceso administrativo compartido a varios sistemas. También puede necesitarlo un proveedor externo para completar el despliegue de un nuevo sistema o integración de un cliente.

Paso 1: define qué se considera una solicitud de credencial compartida

Establece criterios para determinar cuándo una solicitud debe tratarse conforme a la política. La mayoría de las solicitudes suelen encajar en estas categorías:

• Cuentas genéricas o compartidas (por ejemplo, administrator o service)
• Acceso temporal para contratistas o proveedores
• Uso compartido de credenciales en sistemas que no admiten MFA ni SSO

Las brechas en el control de acceso suelen empezar con procedimientos de escalado deficientes. Asegúrate de conceder el acceso temporal con moderación y de clasificar los casos de uso de forma unilateral tanto para los clientes como para las partes interesadas internas.

Paso 2: estandariza el flujo de solicitudes

El siguiente proceso que conviene estandarizar es el flujo de solicitudes. Por ejemplo, toda solicitud de credencial compartida debería seguir la misma ruta de aprobación y documentación. Registra la información crítica: justificaciones, identificador del solicitante, duración del acceso temporal y todos los servicios o documentos asociados que se revelan.

Sé coherente en los procesos de solicitud, aprobación y documentación para crear un flujo de trabajo seguro y auditable que no comprometa los activos críticos.

Paso 3: aplica aprobación y revisión de riesgos

Antes de conceder acceso compartido, evalúa el nivel de riesgo y comprueba que los responsables designados aprueben cada solicitud. Clasifica las solicitudes como de riesgo bajo o alto y mantén un proceso de escalado estricto y auditable.

También puede ser necesario un flujo de trabajo específico para el acceso de proveedores, según las necesidades del negocio.

Si quieres más consejos sobre la gestión de los riesgos asociados a terceros, consulta esta guía sobre la evaluación de riesgos de proveedores.

Paso 4: aplica controles a las credenciales emitidas

Las credenciales compartidas deben supervisarse y controlarse de forma continua. Estas acciones pueden llevarse a cabo en distintas fases. Por ejemplo, puedes usar gestores de contraseñas para distribuir credenciales de forma segura sin exponer las contraseñas.

También puedes usar PowerShell para fijar un periodo de caducidad en los accesos temporales con credenciales. Con NinjaOne, el flujo de trabajo Configurar la caducidad de contraseñas con PowerShell puede desplegarse en entornos de TI más complejos.

Paso 5: documenta y revisa el uso de las credenciales compartidas

Todos los eventos de uso compartido de credenciales deben registrarse para garantizar el cumplimiento y estar preparado ante una auditoría.

Lo ideal es mantener en un registro centralizado los datos sobre aprobaciones de solicitudes, duración y usuarios (por ejemplo, solicitante o avalista). Estos registros pueden incluirse en las revisiones periódicas de seguridad al evaluar el uso de las credenciales compartidas.

Además, hay que eliminar de forma proactiva las cuentas compartidas obsoletas o caducadas.

Soluciones de NinjaOne para la gestión de credenciales

NinjaOne ofrece capacidades de gestión de credenciales tanto para usuarios como para administradores.

• Los técnicos pueden usar NinjaOne para controlar y gestionar credenciales.
• Los MSP pueden configurar controles de acceso basados en roles, crear restricciones adicionales e incluso usar el RMM para elaborar informes o resúmenes ejecutivos.
• El equipo de soporte de TI puede usar NinjaOne Remote® para compartir accesos seguros entre plataformas.
• Los administradores pueden usar Credential Exchange para transferir credenciales de administrador de forma segura.

Como plataforma unificada de gestión de endpoints y seguridad, NinjaOne ofrece distintas soluciones de gestión de usuarios para controlar, gestionar y compartir credenciales de forma eficiente, manteniendo controles de acceso granulares.

Dicho esto, aplicar políticas claras es imprescindible para sentar las bases de una gestión de credenciales eficaz, mientras que un RMM aporta la posibilidad de escalar, mejorar la visibilidad y reforzar el cumplimiento.

Temas relacionados:

• La importancia de la evaluación de riesgos de proveedores
• Proteger los datos de la empresa con el control de acceso empresarial
• ¿Qué es la gestión de secretos? Buenas prácticas de seguridad en TI
• ¿Qué es la gestión de credenciales? Definición y buenas prácticas
• Cómo auditar y eliminar cuentas de administrador obsoletas en varios tenants de Active Directory