Las empresas se están adaptando a un entorno cada vez más interconectado, donde la información fluye con rapidez y la colaboración es clave para la operación. Sin embargo, este nivel de apertura no debería traducirse en mayor exposición al riesgo. Aunque la transparencia y la disponibilidad de la información son necesarias, también lo es definir con claridad los límites de acceso según cada rol dentro de la organización. Este desafío se hace aún más relevante cuando los colaboradores cambian de cargo o asumen nuevas responsabilidades, ya que los permisos adquiridos en roles anteriores pueden mantenerse aunque ya no sean necesarios. El problema no es la falta de seguridad, sino el exceso de privilegios: cuando las cuentas privilegiadas mantienen más permisos de los necesarios, el control disminuye y la vulnerabilidad aumenta.
Los delincuentes se están volviendo expertos en encontrar fisuras como controles de identidad y acceso débiles según el Digital Trust Insights 2025 de PwC. Este informe se basó en una encuesta realizada a más de 4.000 ejecutivos de negocio de 77 países, donde se identificó que solo el 2% de las organizaciones ha implementado medidas de ciberresiliencia de forma integral, lo que evidencia brechas estructurales en la gestión de accesos y controles internos.
Gestión de cuentas privilegiadas
La gestión de accesos es un eje central para proteger la información sin afectar el flujo de trabajo. Para lograrlo, las áreas responsables deben apoyarse en principios clave que permitan equilibrar disponibilidad y control, evitando la sobreexposición de datos y reduciendo riesgos asociados al exceso de privilegios. Esto implica revisar los permisos no solo cuando una persona ingresa a la organización, sino también cuando cambia de función ya que se asumen nuevas responsabilidades o se deja de necesitar determinado acceso.
- Necesidad de saber: cada cuenta debe contar únicamente con acceso a la información relacionada con el desarrollo de las funciones para las que está autorizada.
- Segregación de funciones: la responsabilidad del control de información crítica debe ser gestionada por diferentes cuentas, esto con el fin de evitar un manejo total de un proceso por una sola.
- Mínimo privilegio: otorgar a cada cuenta privilegiada únicamente los permisos que necesita para realizar sus funciones y durante el tiempo requerido, evitando accesos permanentes que ya no sean necesarios. Por ejemplo, habilitar un permiso específico solo durante un día determinado del mes.
Reducir privilegios sin frenar la operación
Soluciones como Endpoint Privilege Management de BeyondTrust, abordan directamente este desafío al eliminar privilegios innecesarios en dispositivos como Windows, Mac y Linux, y aplicar modelos de acceso “just-in-time”. Este enfoque permite que las cuentas privilegiadas cuenten únicamente con los permisos necesarios en el momento preciso, reduciendo la exposición permanente y fortaleciendo el control sobre las acciones que se ejecutan en los endpoints, sin afectar la productividad del negocio.
Francisco Lugo, Ingeniero de Soluciones Senior de BeyondTrust para América Latina, afirma que “las empresas deben ser rigurosas al establecer su política de control de acceso para asegurar la correcta gestión de cuentas privilegiadas y así minimizar riesgos”. Su postura refuerza una idea clave en el contexto actual: no basta contar con herramientas de seguridad, es indispensable definir con precisión cómo, cuándo y bajo qué condiciones se otorgan los accesos, especialmente aquellos con mayores privilegios, y revisarlos de forma periódica cuando cambian las responsabilidades de los colaboradores, ya que son estos los que concentran el mayor potencial de impacto ante una brecha.
En un entorno donde la información es uno de los activos más valiosos, gestionar qué cuentas tienen acceso privilegiado, cómo y cuándo deja de ser una tarea técnica para convertirse en una prioridad estratégica. También significa asegurar que los privilegios asignados evolucionen al mismo ritmo que las funciones de cada empleado. Las organizaciones que logren encontrar ese equilibrio entre acceso y control no solo reducirán riesgos, sino que fortalecerán su operación de forma sostenible. La clave es simple: menos privilegios, más seguridad.
