¿Qué es la gestión de cuentas y sesiones privilegiadas (PASM)?

Proteger las credenciales privilegiadas es un objetivo prioritario de seguridad para cualquier organización. La Gestión de cuentas y sesiones privilegiadas (PASM, por sus siglas en inglés) es una medida de protección clave para evitar que atacantes externos o usuarios internos con malas intenciones accedan a los puntos más vulnerables de una empresa.

Workers can access cloud-based mining data via tablets to remotely view progress on site.

Qué significa PASM para la seguridad

PASM forma parte de la Gestión de accesos privilegiados (PAM). Aunque a veces se usan como sinónimos, PASM se centra específicamente en localizar, almacenar de forma segura, rotar y supervisar credenciales privilegiadas, así como en controlar las sesiones que utilizan dichas credenciales. Esto incluye el uso de cuentas compartidas y la gestión de contraseñas entre aplicaciones (AAPM).

Gracias a PASM, las empresas pueden tener una visibilidad y un control completos sobre las cuentas y credenciales que dan acceso a los sistemas más críticos y a la información más sensible. Estas herramientas permiten guardar las credenciales en cofres digitales seguros, registrar las sesiones en detalle y controlar con precisión quién accede y qué hace.

Por qué las organizaciones necesitan PASM

Las credenciales privilegiadas son uno de los objetivos más codiciados por los atacantes. Cuando se roban, los hackers pueden mantener el acceso, moverse por la red sin ser detectados y robar datos sensibles. Los informes del sector muestran que la mayoría de las brechas de seguridad más graves están relacionadas con credenciales privilegiadas comprometidas.

Las organizaciones que no cuentan con un sistema PASM se enfrentan a varios problemas:

• Poca visibilidad sobre el uso real de las cuentas privilegiadas.
• Detección tardía de credenciales comprometidas.
• Incumplimiento de normativas y requisitos regulatorios.
• Mayor exposición a ataques de escalada de privilegios.

La gestión manual de credenciales no funciona cuando se trata de un gran número de cuentas. Este método genera inconsistencias, no deja rastro de auditoría y abre puertas que los atacantes pueden aprovechar. Por eso, los equipos de seguridad necesitan soluciones automatizadas que resuelvan estos problemas de forma eficaz.

Funciones clave de PASM

• Descubrimiento de cuentas: localiza todas las cuentas privilegiadas en entornos locales y en la nube, incluidas aquellas olvidadas o sin uso que suponen un riesgo.
• Gestión de credenciales: cambia automáticamente las contraseñas según la política definida, evitando contraseñas fijas y reduciendo la superficie de ataque.
• Acceso temporal: concede privilegios solo por un tiempo limitado y con un flujo de aprobación, aplicando el principio de mínimo privilegio.
• Supervisión de sesiones: registra y guarda la actividad de las sesiones privilegiadas, incluidos comandos y pulsaciones, para verificar la seguridad y cumplir con auditorías.
• Detección de amenazas: identifica comportamientos anómalos durante las sesiones y puede interrumpirlas de inmediato si detecta algo sospechoso.

Las implementaciones más avanzadas integran PASM con plataformas de gobierno de identidades, sistemas de autenticación multifactor o herramientas DevOps para proteger las cadenas de desarrollo. Antes de implantarlo, conviene evaluar cómo encaja con la infraestructura y las necesidades de seguridad actuales.

Cumplimiento normativo

Las soluciones PASM ayudan a cumplir normativas como PCI DSS, NIS2, RGPD y otras, generando informes y registros detallados para auditorías.

En el caso de PCI DSS, por ejemplo, se exige identificar de forma única a cada usuario administrativo y poder vincular cualquier acceso a una persona concreta, algo que PASM cubre directamente. Para las empresas que manejan datos de tarjetas de pago, disponer de un PASM robusto no es una opción, sino una obligación.

PASM en la nube

Las plataformas PASM en la nube ofrecen ventajas frente a las soluciones instaladas en los propios servidores: se despliegan mucho más rápido, reciben actualizaciones automáticas, escalan sin límite y requieren menos mantenimiento.

Mientras que las soluciones tradicionales pueden tardar meses en implantarse, las versiones en la nube suelen estar operativas en cuestión de horas, con costes de infraestructura mínimos. Además, ofrecen alta disponibilidad, recuperación ante desastres y actualizaciones continuas para responder a nuevas amenazas.

Integración con otras herramientas de seguridad

PASM alcanza su mayor valor cuando se conecta con otros sistemas:

• Plataformas de gobierno de identidades: para revisiones y certificaciones de acceso.
• Sistemas SIEM: para correlacionar la actividad de cuentas privilegiadas con otros eventos de seguridad.
• Plataformas SOAR: para automatizar la respuesta ante incidentes.
• Soluciones EDR: para supervisar el comportamiento de los dispositivos durante sesiones privilegiadas.

Estas integraciones permiten crear flujos de seguridad más completos, detectar amenazas con mayor rapidez y responder mejor ante incidentes.

PASM y Zero Trust

Aunque PASM refuerza la seguridad, no es la única medida. Forma parte de una arquitectura Zero Trust, y si se combina con la Gestión de elevación y delegación de privilegios (PEDM) ayuda a aplicar el principio de mínimo privilegio en toda la infraestructura.

En los entornos más maduros, PASM verifica de forma continua cualquier acceso privilegiado, sin importar la identidad del usuario, el dispositivo o la ubicación. Este enfoque sigue el principio de “asumir que ha habido una brecha” y verificar siempre.

Para implantarlo con éxito, conviene definir métricas claras, auditar de forma detallada los privilegios existentes y planificar el despliegue por fases, priorizando primero los sistemas y datos más críticos. De este modo, se obtienen beneficios de seguridad inmediatos mientras se avanza hacia una protección completa de las cuentas y sesiones privilegiadas.