Acceso remoto de proveedores: control de permisos temporales

El acceso del proveedor también necesita ciclo de vida

Un contrato vigente no justifica que una cuenta externa conserve acceso permanente a la red. El permiso debe corresponder a una tarea concreta, a una persona identificada y a un intervalo aprobado. Así se reduce la exposición cuando cambian los técnicos asignados o termina la intervención.

NIST SP 800-161 Rev. 1, una guía estadounidense de gestión de riesgo de cadena de suministro, recoge la importancia de documentar acuerdos de acceso para personal externo y establecer mecanismos para revisar, monitorizar y actualizar esos permisos. Puede servir como referencia práctica, pero no sustituye el análisis de las obligaciones legales y contractuales de cada organización.

Playbook de autorización y cierre

1. Solicitud: el proveedor indica técnico, empresa, motivo, sistemas, privilegios y ventana necesaria. Vincula la petición a un ticket y a un responsable interno.
2. Aprobación: el dueño del servicio valida alcance e impacto; seguridad revisa los privilegios elevados o accesos a entornos sensibles.
3. Habilitación: usa una identidad nominativa, autenticación multifactor y un punto de acceso controlado. Concede únicamente los permisos y destinos necesarios; evita cuentas compartidas.
4. Supervisión: registra autenticaciones, comandos privilegiados cuando sea viable, cambios ejecutados y hora de inicio y fin. Avisa al responsable ante una desviación o una sesión fuera de ventana.
5. Revocación: deshabilita el acceso al terminar el trabajo o al vencer su caducidad. Comprueba tokens, claves, VPN, reglas temporales y cuentas locales que pudieran quedar activas.
6. Revisión: contrasta lo solicitado con lo ejecutado, conserva la evidencia según la política interna y documenta excepciones o tareas pendientes.

Ejemplo de mantenimiento de un firewall

Para una actualización planificada, el ticket identifica el firewall y la versión objetivo, el técnico autorizado, el método de acceso y el procedimiento de reversión. La empresa crea una ventana temporal, acompaña la sesión y valida conectividad y registros después del cambio. Si el proveedor requiere más privilegios o tiempo, debe solicitar una ampliación aprobada, no reutilizar una cuenta permanente.

Señales de que el control no está funcionando

Revisa mensualmente cuentas de terceros sin patrocinador interno, permisos que no caducan, sesiones sin ticket, accesos directos desde Internet y excepciones repetidas. Un inventario de accesos de proveedor complementa el playbook de cuentas privilegiadas y la evaluación de proveedores tecnológicos.

Si una intervención requiere acceso de emergencia, usa un procedimiento separado con doble aprobación, duración corta, registro reforzado y revisión posterior. No conviertas la excepción en el camino normal.

Referencia: NIST SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management.