Lo que aprenderás
Objetivos de aprendizaje
- Distingue la autenticación de la autorización
- Explica el papel de las passkeys y de los controles de sesión
- Revisa los privilegios a lo largo del ciclo de vida de un usuario
La autenticación es solo la primera decisión
Un inicio de sesión correcto establece una identidad declarada; la autorización decide qué puede hacer esa identidad. Usa cuentas nominales y concede el acceso mínimo necesario para el puesto. Revisa los privilegios cuando cambian las responsabilidades y retira el acceso mediante un proceso de baja controlado. Las credenciales de administrador compartidas dificultan la atribución y la revocación.
Prefiere la autenticación resistente al phishing cuando sea compatible
Las passkeys y las llaves de seguridad pueden reducir la exposición al phishing de credenciales. No eliminan la necesidad de proteger la recuperación, los endpoints y las sesiones existentes. Documenta los autenticadores compatibles y los procedimientos de recuperación. Una puerta principal sólida aún puede quedar debilitada por una vía de recuperación sin revisar o por una sesión robada de larga duración.
Reduce los privilegios permanentes
Separa la actividad cotidiana del trabajo administrativo. La elevación con límite de tiempo y las aprobaciones pueden reducir el tiempo durante el que el acceso privilegiado está disponible. Revisa las cuentas de servicio y las credenciales de aplicaciones, además de los usuarios humanos. Usa los registros para responder quién accedió a qué, cuándo y bajo qué aprobación.
Ejemplo aplicado
Ponlo en contexto
Un administrador de nóminas ficticio pasa a otro departamento. Su rol se modifica con rapidez, se revisan las sesiones privilegiadas y el acceso de emergencia sigue controlándose de forma independiente. La organización no espera a una revisión anual para retirar los derechos de nóminas que ya no son necesarios.
Escenario ilustrativo con fines de aprendizaje, no una afirmación sobre un incidente verificado de un cliente.Errores frecuentes
- Tratar la MFA como autorización
- Ignorar los privilegios de las cuentas de servicio
- Dejar activos roles antiguos
Tu lista de verificación práctica
Las marcas de la lista de verificación son temporales y no se registran como progreso de la cuenta.
Resumen breve
La autenticación sólida y el mínimo privilegio resuelven partes distintas del riesgo de las cuentas; mantén ambos.