Si preguntas en una pyme quién tiene acceso a su cuenta de la nube, la respuesta suele ser algo como “el proveedor que nos la montó, el informático que estuvo hace dos años y creo que alguien más”. Y casi siempre con permisos de administrador.
No es un problema de mala fe, sino de orden. La cuenta se creó deprisa, se fue dando acceso a quien lo pedía y nadie lo ha revisado desde entonces. El resultado es que cualquier contraseña filtrada de cualquiera de esas personas abre la puerta a toda tu infraestructura.
Los problemas más habituales
Una cuenta compartida para todos
Un mismo usuario y contraseña que usan varias personas. No sabes quién hizo qué, no puedes quitarle el acceso a una sola persona y, si la contraseña se filtra, no hay forma de saber por dónde.
Todo el mundo es administrador
Es lo más cómodo: nadie se queda bloqueado. Pero significa que un error, un descuido o una cuenta comprometida puede borrar servidores, copias de seguridad o datos de clientes.
La cuenta raíz en uso diario
La cuenta principal con la que se dio de alta el servicio tiene poder absoluto sobre todo, incluida la facturación y el cierre de la cuenta. No debería usarse para el trabajo diario.
Claves de acceso que nunca caducan
Las claves que usan los programas y scripts para hablar con la nube se crean una vez y se olvidan. A veces acaban en un repositorio de código, en un correo o en el portátil de alguien que ya no está.
Gente que se fue y sigue dentro
Antiguos empleados, proveedores que terminaron su trabajo, cuentas de prueba. Nadie las dio de baja.
Cómo ordenarlo sin complicarte
- Una cuenta por persona. Cada uno entra con su usuario. Así puedes dar y quitar acceso de forma individual y saber quién hizo cada cambio.
- Doble factor para todos. Es la medida que más riesgo quita con menos esfuerzo. Lo explicamos en MFA y phishing en pymes.
- Protege y aparca la cuenta raíz. Contraseña larga, doble factor físico si es posible y guardada en un lugar seguro. Solo se usa para lo que de verdad la necesita.
- Mínimo privilegio. Cada persona tiene los permisos que necesita para su trabajo, no más. Quien solo consulta la facturación no necesita poder borrar servidores.
- Grupos o roles en lugar de permisos sueltos. Asigna permisos a perfiles (“desarrollo”, “facturación”, “administración”) y mete a las personas en el perfil que toque. Es mucho más fácil de mantener.
- Accesos temporales para proveedores. Si alguien externo necesita entrar para un trabajo concreto, dale acceso para ese trabajo y retíralo al terminar.
- Revisa cada pocos meses. Una lista de quién tiene acceso y con qué permisos. Quien no lo necesita, fuera.
Que quede registro
Además de ordenar los permisos, conviene que todo lo que se hace en la cuenta quede registrado: quién creó, cambió o borró cada recurso y cuándo. Todos los grandes proveedores lo permiten. Si algún día pasa algo, es la diferencia entre saber qué ocurrió y no tener ni idea. Encaja con lo que contamos en qué vigilar en tu infraestructura cloud.
En Alenia Systems, el cloud gestionado incluye la gestión de accesos de tu infraestructura: ordenamos los permisos al empezar y los mantenemos revisados cada mes. Si quieres saber cómo está tu cuenta, pide una revisión gratuita.