Password Manager

Un gestor personal o el autocompletado del navegador resuelve el problema individual, pero no el de la empresa: cuando el empleado se va, esas contraseñas se van con él (o quedan en un dispositivo que la empresa no controla), no hay visibilidad de qué cuentas corporativas están guardadas ni dónde, y no existe forma de compartir de forma segura una credencial de equipo sin enviarla por chat o correo. Un gestor empresarial centraliza esas credenciales bajo el control de TI, permite compartir cuentas de equipo sin revelar la contraseña en texto claro y garantiza que, al darse de baja un empleado, el acceso a las cuentas compartidas se revoca automáticamente en lugar de depender de que alguien se acuerde de cambiarlas.

La alternativa práctica es dar de alta esas cuentas compartidas en el gestor de contraseñas empresarial y asignar el acceso por grupo o rol, de forma que cada miembro del equipo pueda usar la cuenta (iniciar sesión con autocompletado, por ejemplo) sin llegar a ver ni copiar la contraseña real. Esto no complica el día a día: desde el punto de vista del usuario, sigue siendo "un clic para entrar", pero desde el punto de vista de TI la credencial deja de circular por canales informales donde no hay ningún control de quién la tiene ni cuándo se compartió.

Si las credenciales viven en un documento o "en la cabeza de alguien", en efecto habría que rotar todas las claves compartidas en cada baja, algo que en la práctica casi nunca se hace de forma sistemática. Con un gestor de contraseñas empresarial integrado con el directorio corporativo, dar de baja al empleado revoca automáticamente su acceso a las cuentas compartidas sin necesidad de cambiar la contraseña real, porque nunca llegó a conocerla directamente; solo hace falta rotarla si hay sospecha de que la vio o la copió por otra vía.

Sí, la integración con el directorio corporativo (AD o Azure AD) es una funcionalidad estándar de este tipo de herramienta: los usuarios y grupos se sincronizan automáticamente, de forma que dar de alta o de baja a alguien en el directorio propaga ese cambio al acceso de contraseñas compartidas sin que TI tenga que mantener una base de usuarios paralela solo para el gestor.

Cada acceso a una contraseña compartida queda registrado con la identidad real del usuario, la fecha y hora, y en algunos casos la acción concreta (ver, copiar, autocompletar), no solo el hecho de que "la cuenta de administrador" haya iniciado sesión en algún sitio. Ante un incidente, esto permite reconstruir quién usó una credencial concreta en una ventana de tiempo determinada, algo que un documento compartido o un archivo de Excel nunca puede ofrecer porque no distingue entre las personas que conocen la contraseña.

El gestor de contraseñas está pensado para credenciales de aplicaciones cotidianas de uso compartido en equipo (SaaS, redes sociales, herramientas colaborativas), donde el riesgo principal es la falta de control sobre quién conoce la clave. PAM está pensado para cuentas con capacidad de administración sobre infraestructura crítica (servidores, bases de datos, redes), donde además de ocultar la contraseña se graba la sesión completa y se rota la credencial tras cada uso. Si en tu organización solo hay cuentas de aplicación compartidas, el gestor de contraseñas basta; si además hay accesos administrativos a sistemas críticos, necesitas las dos capas, porque cubren riesgos de naturaleza distinta.

La seguridad de este modelo depende de la arquitectura de cifrado, no de "meter todos los huevos en la misma cesta" como concepto. Con una arquitectura de conocimiento cero (zero-knowledge), las contraseñas se cifran y descifran en el dispositivo del usuario, de forma que el proveedor nunca almacena ni puede acceder a las contraseñas en claro; aunque su infraestructura sufriera una brecha, lo que un atacante obtendría serían datos cifrados sin la clave para leerlos. Antes de elegir un gestor conviene confirmar explícitamente que usa este modelo (y no solo cifrado "en tránsito" o "en reposo" gestionado por el propio proveedor).

Las versiones gratuitas o personales no tienen coste directo, pero tampoco ofrecen gestión centralizada, integración con el directorio corporativo, uso compartido controlado de cuentas de equipo ni auditoría, que es precisamente lo que justifica el gasto de una licencia empresarial. El coste de una solución corporativa suele facturarse por usuario al mes, en rangos moderados comparados con otras herramientas de seguridad (sensiblemente por debajo de una licencia PAM), lo que hace que el argumento económico frente a dirección se apoye más en el coste de un incidente evitado (una cuenta compartida comprometida) que en el precio de la licencia en sí.