Una evaluación del riesgo de identidad en un proveedor de servicios gestionados en la nube determinó que su arquitecto sénior de soporte, una de las seis personas con ese rol, tenía acceso a los entornos de producción de cuarenta y siete organizaciones clientes. El acceso era adecuado para el rol: los arquitectos sénior de soporte atendían escalamientos complejos que podían afectar a cualquier cliente, y tener el acceso aprovisionado de antemano evitaba demoras durante los incidentes críticos. Los controles de acceso de cada entorno de cliente estaban bien diseñados. Lo que la evaluación de riesgos cuantificó por primera vez fue la consecuencia agregada del compromiso de una sola credencial: si las credenciales de esta persona fueran objeto de phishing, de relleno de credenciales o de un compromiso mediante un ataque a la cadena de suministro de sus herramientas de desarrollo, el atacante tendría acceso de administrador de producción a cuarenta y siete organizaciones clientes de forma simultánea. El radio de impacto de una sola credencial era de cuarenta y siete entornos de producción empresariales. La evaluación también determinó que no existían controles compensatorios calibrados para este radio de impacto específico: los umbrales de monitoreo, la frecuencia de revisión de sesiones y la detección de accesos anómalos estaban configurados de manera uniforme para todo el personal de soporte, sin tener en cuenta que las credenciales de los arquitectos sénior de soporte representaban una concentración de riesgo que las credenciales de soporte junior no representaban.
¿Qué es realmente el radio de impacto del compromiso de identidades?
El radio de impacto es el alcance de los sistemas, datos y capacidades que quedan accesibles para un atacante al comprometer una credencial de identidad específica. Es la respuesta a la pregunta: si esta credencial fuera robada ahora mismo, ¿cuánto podría hacer un atacante con ella? El radio de impacto está determinado por el acceso que tiene la credencial (los sistemas en los que puede autenticarse, los datos que puede leer o modificar, las acciones que puede realizar) y se amplía con el acceso permanente, los mecanismos de persistencia y la capacidad de usar el acceso inicial para establecer puntos de apoyo adicionales.
La gobernanza del radio de impacto es la aplicación de los principios de mínimo privilegio a la dimensión de las consecuencias en el diseño del acceso: no solo preguntar si el acceso está autorizado, sino cuál sería la consecuencia de un compromiso y si esa consecuencia es proporcional al valor operativo del acceso. Una credencial que debe tener acceso a cuarenta y siete entornos porque ese acceso se necesita para alguna emergencia en cualquiera de ellos se ha diseñado para la peor necesidad operativa posible. Se ha diseñado con un radio de impacto de cuarenta y siete entornos. Una credencial limitada a los entornos que reciben soporte activo en ese momento tiene un radio de impacto proporcional a la necesidad operativa actual y no a la necesidad máxima teórica.
La conexión con el acceso justo a tiempo es la solución arquitectónica para gestionar el radio de impacto. El acceso JIT elimina el radio de impacto permanente al dar acceso solo cuando se necesita: la credencial existe en el momento del acceso y se revoca al final de la sesión. El radio de impacto en cualquier momento dado es el acceso aprovisionado en ese momento y no el acceso teóricamente posible. En los entornos donde el acceso JIT es viable operativamente, convierte el radio de impacto de un riesgo permanente en uno transitorio. En los entornos donde el acceso permanente es necesario operativamente, la gobernanza del radio de impacto exige comprender la exposición permanente y aplicar controles compensatorios proporcionales a ella.
- Concentración de acceso a varios clientes: credenciales individuales que dan acceso simultáneo a muchos entornos de clientes
- Acceso permanente con el alcance máximo posible: acceso aprovisionado para la peor necesidad operativa y no para la necesidad actual
- Sin evaluación del radio de impacto: revisiones de accesos individuales que confirman la autorización sin cuantificar la consecuencia de un compromiso
- Controles compensatorios uniformes: monitoreo y detección calibrados de manera uniforme y no según el radio de impacto individual
- Sin JIT para credenciales con un radio de impacto alto: acceso permanente donde JIT reduciría la exposición
Por qué es importante
El radio de impacto es importante para TPRM porque las relaciones con proveedores que atienden a varios clientes crean la posibilidad de ataques a la cadena de suministro con una sola credencial, en los que comprometer una identidad de un proveedor da acceso simultáneo a los entornos de varios clientes. Este es el patrón de ataque que hace que las violaciones de seguridad de los proveedores de servicios gestionados sean categóricamente distintas de las que afectan a una sola organización: el radio de impacto de una sola credencial puede abarcar toda una cartera de clientes.
La dimensión de las consecuencias regulatorias y contractuales amplifica el riesgo. Un proveedor en el que el compromiso de una sola credencial provoca violaciones de datos simultáneas en cuarenta y siete clientes enfrenta cuarenta y siete obligaciones simultáneas de notificación de violaciones, cuarenta y siete respuestas a incidentes de clientes y cuarenta y siete investigaciones regulatorias. La capacidad de respuesta a incidentes, la capacidad jurídica y las relaciones comerciales del proveedor se ven sometidas a presión al mismo tiempo en toda su base de clientes. Por lo tanto, la gobernanza del radio de impacto es tanto una cuestión de resiliencia del proveedor como de seguridad de identidades.
Dónde se equivocan la mayoría de los equipos
La falla más constante es evaluar las decisiones de acceso individuales sin agregarlas en métricas de radio de impacto. Cada concesión de acceso se revisa y aprueba por separado. La consecuencia agregada de todas las concesiones para una sola identidad, los cuarenta y siete entornos a los que puede acceder el arquitecto sénior de soporte, nunca se calcula ni se informa como métrica de gobernanza. El radio de impacto no es visible en las revisiones de permisos individuales. Requiere agregación.
- Evaluar los permisos individuales sin agregarlos en un radio de impacto
- Sin métrica de radio de impacto: no se calcula el alcance máximo de acceso de las identidades individuales
- Controles compensatorios uniformes no calibrados según el radio de impacto individual
- Sin consideración de JIT para credenciales con un radio de impacto alto
- Concentración de acceso a varios clientes no identificada como concentración de riesgo
Cómo se ve una buena práctica
Los programas maduros de gobernanza del radio de impacto calculan el radio de impacto de cada credencial con acceso significativo, identifican las concentraciones que superan los umbrales definidos, aplican controles compensatorios reforzados proporcionales al radio de impacto y exigen acceso JIT o una reducción del alcance para las identidades con mayor radio de impacto.
- Métrica de radio de impacto para todas las identidades privilegiadas: alcance máximo de acceso calculado para cada credencial con privilegios elevados
- Umbrales de radio de impacto: límites definidos sobre cuántos entornos de clientes puede acceder simultáneamente una sola credencial
- Controles reforzados para identidades con un radio de impacto alto: monitoreo, autenticación y gobernanza de sesiones calibrados según el radio de impacto
- Acceso JIT para credenciales con un radio de impacto alto: radio de impacto permanente convertido en transitorio cuando sea viable
- Límites del alcance de acceso a varios clientes: política que limita el número de entornos de clientes a los que puede acceder una sola credencial
Herramientas
Analítica de identidades: Veza, SailPoint IdentityAI
Las plataformas de analítica de identidades calculan el alcance de acceso efectivo de cada credencial y muestran lo que cada identidad puede alcanzar en todos los sistemas conectados. Para evaluar el radio de impacto, estas plataformas ofrecen la agregación necesaria para convertir los registros de permisos individuales en métricas completas del alcance del acceso. Para los profesionales de TPRM, preguntar si el proveedor utiliza analítica de identidades para calcular el radio de impacto efectivo de las identidades con privilegios elevados plantea una pregunta específica sobre la gobernanza del radio de impacto.
PAM con JIT: CyberArk, BeyondTrust
El acceso JIT mediante plataformas de PAM convierte el radio de impacto permanente en una exposición transitoria: el acceso se aprovisiona cuando se necesita y se revoca al final de la sesión, lo que elimina el acceso permanente a varios entornos que crea radios de impacto amplios. Para los profesionales de TPRM, preguntar si las credenciales de soporte y de administración con un radio de impacto alto utilizan acceso JIT es la pregunta más directa sobre la reducción del radio de impacto.
Desafíos de gobernanza
El desafío de gobernanza del radio de impacto es el problema del cálculo. Calcular el radio de impacto en un entorno complejo con varios sistemas requiere comprender no solo los permisos directos de una credencial, sino también el acceso indirecto que esos permisos habilitan mediante cadenas de pertenencia a grupos, capacidades de asunción de roles, acceso a almacenes de credenciales y relaciones de replicación. Esto requiere el tipo de análisis del grafo de permisos descrito en el artículo sobre movimiento lateral: el radio de impacto es, en la práctica, el conjunto de destinos alcanzables a través del grafo de permisos desde una credencial inicial determinada.
- Calcule el radio de impacto de todas las identidades de proveedores con privilegios elevados: alcance máximo de acceso, incluido el acceso a varios clientes
- Defina umbrales de radio de impacto: el número máximo de entornos de clientes a los que debería poder acceder una sola credencial
- Aplique JIT a las credenciales que superen los umbrales de radio de impacto
- Calibre el monitoreo y la detección según el radio de impacto: mayor intensidad cuanto mayor sea el radio de impacto
- Incluya el radio de impacto en la puntuación del riesgo de identidad: el alcance del acceso como amplificador del riesgo
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de servicios gestionados una pregunta que calcula la métrica de radio de impacto más importante: ¿cuál es el número máximo de entornos de clientes a los que puede acceder simultáneamente una sola credencial de ingeniero de soporte, y ha considerado su proveedor el acceso JIT o límites de alcance para las credenciales que superan un umbral definido? La respuesta cuantifica el impacto máximo de un compromiso de la cadena de suministro por el robo de una sola credencial y revela si el radio de impacto se ha evaluado como dimensión de gobernanza.
- Pregunte por el número máximo de entornos de clientes accesibles desde una sola credencial
- Pregunte si se utiliza el acceso JIT para las credenciales con acceso a entornos de varios clientes
- Pregunte si el monitoreo está calibrado según el radio de impacto de cada credencial
- Pregunte por los umbrales de radio de impacto: el alcance máximo de acceso definido para una sola credencial
Qué exigir
Pregunte directamente:
"¿Cuál es el número máximo de entornos de clientes a los que puede acceder simultáneamente una sola credencial de ingeniero de soporte en su organización, y ha evaluado su organización umbrales de radio de impacto para las identidades de gran alcance?"
"Para las credenciales que dan acceso a entornos de varios clientes, ¿utilizan el aprovisionamiento de acceso justo a tiempo para limitar la exposición permanente, o esas credenciales dan acceso persistente a todos los entornos independientemente de la necesidad operativa actual?"
Evidencia que debe esperar
- Alcance máximo de acceso a entornos de clientes por credencial
- Política de umbrales de radio de impacto, si está definida
- Acceso JIT para credenciales con un radio de impacto alto
- Monitoreo reforzado calibrado según el radio de impacto de la credencial
A un proveedor que confirma un acceso basado en roles adecuado se le debe preguntar específicamente cuál es el radio de impacto máximo de su credencial de mayor alcance, es decir, a cuántos entornos de clientes se puede llegar desde una sola credencial comprometida. La adecuación del rol describe la autorización. El radio de impacto describe la consecuencia. Ambos requieren evaluación antes de que se produzca el compromiso.
Cómo demostrarlo
- Registros de evaluación del radio de impacto de las credenciales de proveedores con privilegios elevados
- Documentación del alcance de acceso a varios clientes
- JIT o limitación del alcance para credenciales con un radio de impacto alto
- Registros de calibración del monitoreo reforzado
Conclusión clave
El compromiso de una credencial no es una cuestión de si ocurrirá. Es una cuestión de cuándo y de cuánto. El radio de impacto es el cuánto. Cuarenta y siete entornos de clientes accesibles desde una credencial son un radio de impacto de cuarenta y siete entornos. El mínimo privilegio que restringe cada concesión de acceso es necesario pero no suficiente: el alcance agregado de todas las concesiones de acceso de una sola credencial determina el radio de impacto que hereda el atacante en el momento del compromiso. Calcule el radio de impacto. Defina umbrales. Aplique JIT a las credenciales que superen el umbral. Calibre el monitoreo según el radio de impacto. La decisión de gobernanza sobre cuánto daño puede causar un solo compromiso se toma ahora, antes del compromiso, en las decisiones de aprovisionamiento de acceso que determinan el radio de impacto. Después del compromiso, el radio de impacto lo decide el atacante.