Acceso remoto de proveedores: control de permisos temporales

El acceso del proveedor también necesita ciclo de vida#

Un contrato vigente no justifica que una cuenta externa conserve acceso permanente a la red. El permiso debe corresponder a una tarea concreta, a una persona identificada y a un intervalo aprobado. Así se reduce la exposición cuando cambian los técnicos asignados o termina la intervención.

NIST SP 800-161 Rev. 1, una guía estadounidense de gestión de riesgo de cadena de suministro, recoge la importancia de documentar acuerdos de acceso para personal externo y establecer mecanismos para revisar, monitorizar y actualizar esos permisos. Puede servir como referencia práctica, pero no sustituye el análisis de las obligaciones legales y contractuales de cada organización.

Playbook de autorización y cierre#

1. Solicitud: el proveedor indica técnico, empresa, motivo, sistemas, privilegios y ventana necesaria. Vincula la petición a un ticket y a un responsable interno.
2. Aprobación: el dueño del servicio valida alcance e impacto; seguridad revisa los privilegios elevados o accesos a entornos sensibles.
3. Habilitación: usa una identidad nominativa, autenticación multifactor y un punto de acceso controlado. Concede únicamente los permisos y destinos necesarios; evita cuentas compartidas.
4. Supervisión: registra autenticaciones, comandos privilegiados cuando sea viable, cambios ejecutados y hora de inicio y fin. Avisa al responsable ante una desviación o una sesión fuera de ventana.
5. Revocación: deshabilita el acceso al terminar el trabajo o al vencer su caducidad. Comprueba tokens, claves, VPN, reglas temporales y cuentas locales que pudieran quedar activas.
6. Revisión: contrasta lo solicitado con lo ejecutado, conserva la evidencia según la política interna y documenta excepciones o tareas pendientes.

Ejemplo de mantenimiento de un firewall#

Para una actualización planificada, el ticket identifica el firewall y la versión objetivo, el técnico autorizado, el método de acceso y el procedimiento de reversión. La empresa crea una ventana temporal, acompaña la sesión y valida conectividad y registros después del cambio. Si el proveedor requiere más privilegios o tiempo, debe solicitar una ampliación aprobada, no reutilizar una cuenta permanente.

Señales de que el control no está funcionando#

Revisa mensualmente cuentas de terceros sin patrocinador interno, permisos que no caducan, sesiones sin ticket, accesos directos desde Internet y excepciones repetidas. Un inventario de accesos de proveedor complementa el playbook de cuentas privilegiadas y la evaluación de proveedores tecnológicos.

Si una intervención requiere acceso de emergencia, usa un procedimiento separado con doble aprobación, duración corta, registro reforzado y revisión posterior. No conviertas la excepción en el camino normal.

Referencia: NIST SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management.