Playbook para proteger las cuentas privilegiadas

Una cuenta de administrador no es una cuenta de uso diario

Las identidades privilegiadas pueden cambiar políticas, restablecer credenciales, acceder a datos sensibles o desactivar defensas. Por eso, protegerlas exige más que añadir una regla de MFA: hay que reducir las rutas de administración, limitar cuándo y desde dónde se usan y revisar quién conserva cada permiso.

Microsoft recomienda tratar el acceso privilegiado como una prioridad y combinar controles de identidad, dispositivos, intermediarios y monitorización. Sus guías de protección de cuentas privilegiadas y de acceso privilegiado en Zero Trust son referencias técnicas, no una receta única para todas las plataformas.

Secuencia de implantación

1. Inventariar. Lista cuentas humanas, cuentas de emergencia, identidades de servicio, roles cloud y accesos a sistemas críticos. Asigna propietario y finalidad a cada una.
2. Separar. Mantén una identidad administrativa distinta de la cuenta de correo y navegación habitual. Evita privilegios permanentes cuando el sistema permita asignación temporal y aprobada.
3. Restringir el puesto. Define un dispositivo o entorno administrativo endurecido y limita desde qué equipos se permiten las tareas de alto impacto. No uses esa estación para correo general ni tareas cotidianas.
4. Fortalecer la autenticación. Exige MFA robusta, protege los métodos de recuperación y añade señales de riesgo y cumplimiento del dispositivo según las capacidades disponibles.
5. Preparar la excepción. Documenta cuentas de emergencia, custodios, almacenamiento seguro, alertas y pruebas periódicas. Una cuenta de emergencia sin monitorización puede convertirse en una puerta permanente.
6. Revisar y retirar. Recertifica los permisos tras cambios de puesto y en una cadencia acordada con los propietarios; elimina accesos y credenciales que ya no tengan uso justificado.

Evidencia y respuesta

Registra quién aprobó cada rol, desde qué dispositivo se administró, qué cambios se ejecutaron y qué alertas se investigaron. Ensaya el procedimiento para una pérdida de dispositivo, una salida urgente de personal y una sospecha de robo de credenciales. Si una identidad privilegiada se ve comprometida, sigue el plan de contención de identidad y preservación de evidencia; no improvises cambios que puedan bloquear la recuperación.

Este playbook complementa la auditoría de ciberseguridad y la guía de Zero Trust para Microsoft Entra. Adapta controles, licencias y excepciones al entorno real antes de aplicarlos.