Soffid PAM

Una cuenta privilegiada es cualquier credencial con capacidad de administración sobre sistemas críticos: root, administrador de dominio, cuentas de servicio, usuarios de base de datos con permisos elevados, etc. Gestionarlas "a mano" (documento compartido, chat) tiene dos problemas que el sentido común no resuelve: nadie rota esas contraseñas con regularidad porque romper algo en producción da miedo, y no queda registro de quién usó qué credencial y cuándo si varias personas comparten el mismo usuario "administrador". Una herramienta PAM resuelve exactamente eso: rotación automática, acceso bajo demanda sin que el usuario llegue a ver la contraseña en texto claro, y grabación de la sesión para que cada uso quede atribuido a una persona concreta.

Los precios de PAM tradicional (CyberArk y similares) tienen fama merecida de estar orientados a grandes cuentas, con licencias y servicios de implantación que fácilmente superan la capacidad de una pyme. Existen alternativas dimensionadas para organizaciones medianas, con modelos de licencia más ajustados al número de cuentas privilegiadas reales (que en una pyme suele ser un número manejable: unas decenas, no miles) en lugar de tarifas pensadas para infraestructuras de miles de servidores. El criterio para saber si tiene sentido no es el tamaño de la empresa, sino si hoy existen cuentas de administrador compartidas sin control: si es así, el riesgo ya existe independientemente del tamaño.

El primer paso es un descubrimiento automático: la herramienta PAM escanea servidores, tareas programadas y aplicaciones para localizar cuentas de servicio y credenciales que nadie tiene documentadas, en lugar de depender de que alguien recuerde dónde están. Una vez localizadas, se migran a la bóveda y se sustituyen por una llamada a la API de la bóveda (o un agente local) que obtiene la contraseña en el momento de ejecución, de forma que el script o la aplicación deja de tener la credencial hardcodeada y esa contraseña puede rotarse sin tener que tocar de nuevo el código. Este proceso se hace de forma gradual, validando cada cuenta antes de rotarla, precisamente para no romper nada en producción.

Bien configurado, el acceso vía bóveda añade segundos, no minutos: el administrador se autentica una vez con su propia identidad y la herramienta le concede la sesión privilegiada sin que tenga que copiar y pegar ninguna contraseña. Para incidentes críticos y guardias nocturnas se definen además accesos de emergencia (break-glass) con aprobación posterior en lugar de previa, de forma que la urgencia no queda bloqueada esperando una autorización. La fricción real que hay que evitar no es el paso por la bóveda en sí, sino un mal diseño de los flujos de aprobación para los escenarios de urgencia, que es donde hay que poner el cuidado al configurar la herramienta.

Ambos guardan credenciales, pero para casos de uso distintos. Un gestor de contraseñas empresarial está pensado para credenciales de aplicaciones cotidianas (SaaS, redes sociales, cuentas de equipo) que un usuario necesita conocer o autocompletar en su día a día. PAM está pensado para credenciales con capacidad de administración sobre infraestructura crítica, donde el objetivo es justo lo contrario: que el usuario nunca vea la contraseña en claro, que el acceso quede grabado sesión a sesión y que la credencial rote automáticamente tras cada uso. Muchas organizaciones necesitan las dos herramientas porque cubren riesgos distintos: uso cotidiano de credenciales de aplicación frente a control de accesos con capacidad de causar un daño mayor.

La sesión privilegiada se establece siempre a través de la bóveda, que actúa de intermediario (proxy) entre el usuario y el sistema destino, sin que el usuario llegue a conocer la contraseña real. Durante esa sesión, la herramienta graba la actividad (en sesiones gráficas, vídeo de la pantalla; en sesiones de línea de comandos, los comandos ejecutados) y la asocia a la identidad real de la persona, no a la cuenta compartida de "administrador". Ante una auditoría o un incidente, esto permite reproducir exactamente qué hizo un proveedor externo o un administrador interno durante una sesión concreta, en lugar de depender de su palabra.

El despliegue se hace por oleadas, nunca migrando todas las cuentas privilegiadas de golpe: se empieza por un grupo acotado de sistemas o cuentas de menor riesgo, se valida que el acceso vía bóveda funciona igual que el acceso directo anterior, y solo entonces se amplía el alcance a los sistemas más críticos. Este enfoque evita el escenario de "big bang" que preocupa a los equipos de sistemas, a costa de alargar el proyecto varias semanas o meses según el número de cuentas y sistemas a cubrir. Durante la migración, las credenciales originales se mantienen operativas hasta confirmar que el nuevo circuito funciona, precisamente para no dejar sin acceso a un servidor de producción por error.

El ENS no cita "PAM" como producto obligatorio por nombre, pero sí exige control reforzado de accesos privilegiados en los niveles medio y alto (medidas de control de acceso, gestión de cuentas con privilegios y trazabilidad de su uso), lo que en la práctica es muy difícil de demostrar ante auditoría sin una herramienta que centralice y registre ese acceso. PCI-DSS sí es explícito: exige control, autenticación reforzada y trazabilidad individualizada de cuentas con acceso administrativo a entornos con datos de tarjeta. ISO 27001 lo trata como control de buenas prácticas (gestión de accesos privilegiados, Anexo A) más que como obligación literal. En los tres casos, aunque no siempre se llame "PAM" en el texto de la norma, cumplir sin una herramienta dedicada exige procesos manuales muy difíciles de sostener y de demostrar con evidencias.