Un proveedor de servicios en la nube completó su revisión de accesos trimestral según lo previsto. La revisión abarcó todas las cuentas de usuario con acceso a entornos de datos de clientes: setenta y tres cuentas revisadas, setenta y tres cuentas aprobadas. La revisión se entregó a su equipo de cumplimiento como completa. Cuatro meses después, una auditoría de seguridad descubrió que catorce de las setenta y tres cuentas aprobadas pertenecían a exempleados que habían dejado la organización durante los dieciocho meses anteriores. Tres pertenecían a contratistas cuyos encargos habían terminado. Cuatro correspondían a cuentas creadas para proyectos de clientes específicos que ya habían concluido. Las cuentas estaban activas, las credenciales eran válidas y, en al menos dos casos, se habían utilizado en los meses posteriores a la revisión de accesos. La revisión se había realizado con una hoja de cálculo que listaba los nombres de las cuentas. A los revisores, jefes de departamento, se les había pedido que confirmaran si cada cuenta debía tener acceso. Habían confirmado que sí para las cuentas que reconocían y que sí para las que no reconocían, porque, al revisar un nombre de cuenta desconocido, lo más fácil es suponer que pertenece a alguien que debe tenerla.
¿Qué es realmente el problema de la calidad de las revisiones de accesos?
Las revisiones de accesos (el proceso periódico de verificar que todas las cuentas con acceso a sistemas y datos sensibles deben seguir teniéndolo) son un control fundamental de la gobernanza de identidades, exigido por el PCI-DSS, SOC 2, ISO 27001 y la mayoría de los marcos regulatorios que abordan la seguridad de la información. Su objetivo es identificar las cuentas que ya no deberían tener acceso: exempleados, contratistas cuyos encargos han terminado, cuentas de servicio cuya finalidad ha cambiado y usuarios cuyas funciones han evolucionado más allá de su alcance de acceso actual. Bien ejecutadas, las revisiones de accesos reducen la superficie de ataque expuesta al compromiso de credenciales, limitan las oportunidades de amenaza interna y garantizan que el principio de mínimo privilegio se mantenga a lo largo del tiempo a medida que cambian las funciones y las relaciones.
El problema de calidad surge de la brecha entre el proceso de realizar una revisión de accesos y el resultado de realizarla bien. Una revisión de accesos que genera una lista de cuentas, la envía a los responsables para su aprobación y procesa todas las aprobaciones como confirmaciones de un acceso legítimo ha cumplido el requisito procedimental de una revisión de accesos. No necesariamente ha producido una evaluación precisa de qué cuentas deberían tener acceso. La precisión de la revisión depende de la calidad de los datos de las cuentas presentados (si incluyen la información que los revisores necesitan para tomar decisiones informadas), del contexto disponible para los revisores (si saben a quién pertenece cada cuenta y cuál es su función actual) y de la responsabilidad cultural por el resultado de la revisión (si aprobar una cuenta que no debería tener acceso tiene consecuencias).
El problema de las cuentas huérfanas es la consecuencia más común y más significativa de las revisiones de accesos de baja calidad. Las cuentas huérfanas (cuentas que pertenecen a personas que ya no tienen una necesidad legítima de acceso, normalmente exempleados, excontratistas y usuarios que han cambiado de función) se acumulan en cualquier organización en la que el proceso de altas, cambios y bajas para el aprovisionamiento y la baja de accesos tenga brechas. Las revisiones de accesos periódicas están diseñadas para detectar lo que el proceso de aprovisionamiento pasó por alto. Cuando las revisiones aprueban automáticamente la lista de accesos existente en lugar de cuestionarla, las cuentas huérfanas persisten indefinidamente y constituyen un conjunto de credenciales válidas que pueden usar sus antiguos titulares, los atacantes que comprometan esas credenciales o cualquier otra persona que obtenga acceso a ellas.
En los entornos de los proveedores, las fallas de calidad de las revisiones de accesos se agrupan en cinco patrones específicos:
- Aprobación automática por revisores no informados: responsables que aprueban listas de accesos con cuentas que no reconocen porque el proceso de revisión no ofrece contexto y lo más fácil es aprobar
- Calidad de los datos de las cuentas insuficiente para la revisión: listas de accesos que contienen nombres de cuenta o de usuario sin contexto suficiente (fecha del último inicio de sesión, función, finalidad de la cuenta, situación laboral actual) para permitir una revisión informada
- Sin consecuencias por aprobar cuentas ilegítimas: procesos de revisión en los que aprobar una cuenta que no debería tener acceso no genera ninguna responsabilidad ni obligación de corrección para quien la aprueba
- Alcance de la revisión limitado a los sistemas principales: revisiones de accesos que cubren las bases de datos de las aplicaciones principales y omiten las plataformas de analítica, las herramientas de informes, el acceso a herramientas de colaboración y las interfaces administrativas
- Sin validación independiente de los resultados de la revisión: las revisiones se dan por completas con la firma del responsable, sin una verificación independiente de que las cuentas aprobadas corresponden a necesidades de acceso actuales y legítimas
Por qué es importante
La calidad de las revisiones de accesos es importante para la TPRM porque es el control que determina si el acceso otorgado a los empleados de un proveedor sigue siendo proporcional a sus funciones actuales con el paso del tiempo. El aprovisionamiento inicial de accesos en la incorporación crea la línea base de acceso. Se supone que la revisión de accesos mantiene esa línea base a medida que cambian las funciones, garantizando que un empleado que pasó a otra función hace tres años no siga teniendo el acceso adecuado para su función anterior y que un contratista que terminó su encargo hace seis meses no siga teniendo credenciales que nunca se dieron de baja.
El riesgo del acceso de exempleados es donde las fallas de revisión de accesos de los proveedores generan la exposición de consecuencias más inmediatas. Un exempleado que conserva acceso a los entornos de datos de clientes de un proveedor es una credencial que existe fuera de la relación laboral con el proveedor, fuera del alcance de su monitoreo de seguridad y que posiblemente utiliza alguien que ya no tiene ningún motivo de negocio para tenerla. Los catorce exempleados que superaron la revisión de accesos trimestral del proveedor no estaban accediendo a los sistemas en la mayoría de los casos, pero en al menos dos casos hubo accesos después de que la revisión confirmara que las cuentas eran legítimas. Los exempleados con credenciales activas en los entornos de los proveedores no son un riesgo teórico.
Para los profesionales de TPRM, evaluar la calidad de las revisiones de accesos exige ir más allá de confirmar su ritmo (trimestral está bien, mensual es mejor) y examinar la calidad del propio proceso de revisión. Una revisión de accesos trimestral que aprueba automáticamente una lista de accesos produce menos valor de seguridad real que una revisión anual que cuestiona de verdad cada cuenta y elimina las cuentas huérfanas que los revisores no pueden justificar. El ritmo es la frecuencia de la oportunidad. La calidad es si la oportunidad se aprovecha.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar la frecuencia de la revisión como indicador indirecto de su calidad. Las revisiones de accesos trimestrales suenan rigurosas. Una revisión de accesos que se realiza cada trimestre, pero se ejecuta como la aprobación automática de una lista que nadie cuestiona, aporta la documentación de cumplimiento de una revisión trimestral sin su valor de seguridad. La pregunta sobre el ritmo (con qué frecuencia realizan revisiones de accesos) es una pregunta sobre la frecuencia de la gobernanza. La pregunta sobre la calidad (qué ocurre en la revisión para garantizar que se identifiquen y eliminen las cuentas ilegítimas) es la pregunta sobre la eficacia de la gobernanza.
La segunda falla es no preguntar qué información se presenta a los revisores. Una revisión de accesos presentada como una lista de nombres de usuario sin contexto exige que los revisores conozcan por su cuenta cada cuenta para tomar decisiones informadas, un conocimiento que quizás no tengan. Una revisión de accesos que presenta la fecha del último inicio de sesión, la fecha de creación de la cuenta, su finalidad, la verificación de la situación laboral actual y la correspondencia con las funciones da a los revisores la información necesaria para identificar las cuentas que no deberían existir. La calidad de la información determina la calidad de la revisión.
- Tratar la frecuencia de la revisión como equivalente a su calidad: las aprobaciones automáticas trimestrales aportan menos valor de seguridad que las revisiones anuales reales
- Contexto de las cuentas insuficiente para una revisión informada: listas de nombres de usuario sin último inicio de sesión, situación laboral ni finalidad de la cuenta
- Sin responsabilidad por aprobar cuentas ilegítimas: los revisores que aprueban cuentas huérfanas no enfrentan ninguna consecuencia
- Alcance de la revisión limitado a los sistemas principales: no se incluye el acceso a la analítica, los informes ni las herramientas de colaboración
- Sin validación independiente: se acepta la firma del responsable sin verificar la exactitud de la aprobación
Cómo se ve una buena práctica
Los programas maduros de revisión de accesos presentan a los revisores datos de las cuentas con un contexto completo que permite tomar decisiones informadas, exigen una justificación para cada aprobación en lugar de aceptar la aprobación como opción predeterminada e incluyen mecanismos de validación independiente que detectan las aprobaciones que deberían haber sido rechazos.
- Datos de revisión de accesos con contexto completo: cada cuenta se presenta con nombre de usuario, nombre completo, situación laboral actual, fecha del último inicio de sesión, fecha de creación y finalidad de la cuenta
- Justificación obligatoria para la aprobación: los revisores deben aportar una breve justificación para mantener el acceso de cada cuenta, no limitarse a marcarla como aprobada
- Verificación laboral automatizada: herramienta de revisión de accesos integrada con el sistema de recursos humanos para señalar las cuentas de exempleados antes de que comience la revisión
- La falta de respuesta equivale a revocación: las cuentas sin respuesta dentro del período de revisión se marcan automáticamente para su revocación en lugar de mantener el acceso por defecto
- Validación independiente posterior a la revisión: una muestra de las cuentas aprobadas se verifica de forma independiente para confirmar que corresponde a usuarios actuales legítimos
- Alcance de la revisión que cubre todos los tipos de acceso: plataformas de analítica, herramientas de informes, interfaces administrativas y acceso a herramientas de colaboración revisados junto con el acceso a las bases de datos principales
Herramientas
Una revisión de accesos eficaz requiere herramientas de gobernanza de identidades que automaticen la recopilación de contexto, obliguen a completar la revisión y ofrezcan capacidad de validación independiente.
Gobernanza y administración de identidades: SailPoint, Saviynt, Omada
Las plataformas de IGA automatizan el proceso de revisión de accesos: recopilan los datos de las cuentas de todos los sistemas, los enriquecen con contexto de recursos humanos, envían las revisiones a los responsables adecuados con plazos y revocan automáticamente el acceso que no se certifica dentro del período de revisión. SailPoint IdentityNow se integra con los sistemas de recursos humanos para mostrar la situación laboral junto con los datos de acceso, lo que permite a los revisores ver de inmediato qué cuentas pertenecen a exempleados. Para los profesionales de TPRM, preguntar si el proveedor usa una plataforma de IGA para las revisiones de accesos, en lugar de procesos manuales basados en hojas de cálculo, revela la diferencia entre una revisión respaldada sistemáticamente y una gestionada manualmente.
Gestión de accesos privilegiados: CyberArk, BeyondTrust, Delinea
Las plataformas de PAM gobiernan específicamente las revisiones de acceso de las cuentas privilegiadas y ofrecen una supervisión reforzada de las cuentas con el acceso de mayor riesgo. Para los profesionales de TPRM, preguntar si las revisiones de cuentas privilegiadas se realizan mediante una plataforma de PAM con flujos de revisión separados y reforzados revela si el acceso de mayor riesgo está sujeto a un rigor de revisión proporcional.
Servicios de directorio y SCIM: Azure AD, Okta, protocolos SCIM
La integración del directorio de identidades con el aprovisionamiento y la baja automatizados de accesos es la primera línea de prevención de cuentas huérfanas: deshabilita automáticamente las cuentas cuando los sistemas de recursos humanos registran una salida. Cuando la baja automatizada funciona correctamente, las revisiones de accesos detectan menos cuentas huérfanas porque la mayoría ya se ha eliminado. Para los profesionales de TPRM, preguntar si el proveedor tiene una baja automatizada de accesos integrada con los sistemas de recursos humanos aporta un control que reduce la carga de corrección de la revisión de accesos.
Desafíos de gobernanza
El desafío de gobernanza de la calidad de las revisiones de accesos es el problema de la escala y la atención. Una organización con mil cuentas de usuario realiza una revisión de accesos en la que cada responsable debe revisar cientos de cuentas. Bajo presión de tiempo, los revisores aplican la heurística del mínimo esfuerzo: aprueban lo que les resulta familiar y aprueban lo que no reconocen, suponiendo que debe de ser legítimo. El proceso de revisión produce un artefacto de cumplimiento, mientras que su valor real de seguridad depende de una atención de los revisores que la escala de la revisión vuelve impracticable.
Para los programas de TPRM, el enfoque práctico de gobernanza consiste en preguntar a los proveedores por los indicadores de calidad de las revisiones de accesos y no solo por su ritmo; en concreto, qué porcentaje de cuentas se revoca o modifica en cada ciclo de revisión. Una revisión de accesos trimestral que no modifica ninguna cuenta es, casi con seguridad, un proceso de aprobación automática. Una revisión trimestral que revoca sistemáticamente entre el cinco y el quince por ciento de las cuentas demuestra un cuestionamiento real. La tasa de revocación es el indicador de calidad que el ritmo de revisión no puede aportar.
- Preguntar por las tasas de revocación de las revisiones de accesos: el porcentaje de cuentas revocadas o modificadas en cada ciclo como indicador indirecto de calidad
- Preguntar por el contexto de las cuentas que se proporciona a los revisores: situación laboral, último inicio de sesión y finalidad de la cuenta en los datos de la revisión
- Preguntar por la baja automatizada de accesos: si la integración con el sistema de recursos humanos evita las cuentas huérfanas antes de que lleguen a la revisión
- Exigir evidencia de validación independiente: verificación posterior de una muestra de las cuentas aprobadas
- Preguntar por el alcance de la revisión: todos los tipos de acceso, incluidas las plataformas de analítica y de colaboración
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de mayor riesgo una pregunta de calidad junto con su confirmación estándar de la revisión de accesos: en su revisión de accesos más reciente, ¿qué porcentaje de cuentas se revocó o modificó como resultado de la revisión? Una cifra cercana a cero significa que la revisión está confirmando la lista de accesos existente en lugar de cuestionarla. Una tasa de revocación significativa, del cinco por ciento o más, significa que la revisión está encontrando y eliminando cuentas que no deberían existir. Esa única cifra le dice más sobre la calidad de la revisión de accesos de lo que jamás le dirá la respuesta sobre su ritmo.
- Pedir la tasa de revocación de la revisión de accesos más reciente: el indicador indirecto de calidad que el ritmo no puede aportar
- Preguntar qué contexto de las cuentas se proporciona a los revisores durante la revisión
- Preguntar si la baja automatizada vinculada a recursos humanos evita las cuentas huérfanas antes de la revisión
- Preguntar si el acceso a la analítica y a las herramientas de colaboración está incluido en el alcance de la revisión
Qué exigir
Pregunte directamente:
“En su revisión de accesos más reciente, ¿qué porcentaje de cuentas se revocó o vio modificado su acceso como resultado de la revisión? ¿Ese porcentaje refleja un cuestionamiento real o la confirmación de una lista de accesos existente?”
“¿Qué contexto se proporciona a los revisores para cada cuenta? En concreto, ¿cada entrada de cuenta muestra la situación laboral actual, la fecha del último inicio de sesión, la fecha de creación y la finalidad de la cuenta?”
“¿Tienen una baja automatizada de accesos integrada con su sistema de recursos humanos que retire el acceso cuando los empleados se van? Si es así, ¿qué porcentaje de las retiradas de acceso se gestiona automáticamente y qué porcentaje mediante el ciclo de revisión de accesos?”
Evidencia que debe esperar
- Tasa de revocación de la revisión de accesos del ciclo más reciente
- Formato de los datos de revisión de accesos que muestra el contexto de las cuentas proporcionado a los revisores
- Confirmación de la baja automatizada de accesos y descripción de la integración con recursos humanos
- Confirmación del alcance de la revisión, incluidas las plataformas de analítica y de colaboración
Un proveedor que responde a la pregunta sobre la tasa de revocación con “nuestras revisiones de accesos son exhaustivas y trimestrales” ha vuelto a describir la frecuencia. Pida la cifra concreta: qué porcentaje de cuentas se revocó en la última revisión. Si la respuesta es cero o cercana a cero, la revisión está confirmando la lista, no cuestionándola.
Cómo demostrarlo
Las revisiones de accesos son obligatorias según los requisitos 7 y 8 del PCI-DSS, los Trust Services Criteria de SOC 2 para el acceso lógico, los controles A.9 de ISO 27001 y las especificaciones de implementación de la gestión de accesos de la HIPAA. Demostrar la debida diligencia requiere evidencia de que se evaluó la calidad de la revisión además de su frecuencia.
- Registros de evaluación de proveedores que documentan las preguntas sobre la calidad de la revisión: tasa de revocación, contexto de las cuentas y alcance
- Evidencia de la tasa de revocación de las revisiones de accesos de los ciclos recientes
- Confirmación de la integración de la baja automatizada de accesos
- Confirmación del alcance de la revisión que abarca el acceso a la analítica y a las herramientas de colaboración
Conclusión clave
La revisión de accesos que aprueba todas las cuentas produce un artefacto de cumplimiento sin un resultado de seguridad. La revisión está completa. Los exempleados siguen activos. Los contratistas cuyos encargos terminaron hace meses siguen teniendo credenciales. Las cuentas cuya finalidad cambió hace dos años siguen teniendo el acceso que se les otorgó para una función que ya no existe. La calidad de una revisión de accesos se mide por lo que encuentra y elimina, no por la frecuencia con que se realiza. Una revisión trimestral con una tasa de revocación del cero por ciento es un trámite trimestral. Una revisión anual que elimina el quince por ciento de las cuentas es una evaluación anual real. Pida la tasa de revocación. Es la cifra que la frecuencia de revisión no puede aportar.