19.Mínimo privilegio

El mínimo privilegio es una regla sencilla: cada quien tiene acceso solo a lo que necesita para hacer su trabajo, ni más ni por más tiempo.

En una escuela, el conserje tiene llave de los salones, pero no de la caja fuerte; el docente ve las calificaciones de sus grupos, pero no la nómina. Si alguien pierde su llave, el daño se limita a lo que esa llave abre.

En términos técnicos

• Se aplica a personas, programas, servicios y equipos.
• Se relaciona con la necesidad de saber (need to know): ver información solo si tu tarea lo requiere.
• Se complementa con la separación de funciones: quien solicita algo no es quien lo aprueba.
• Se implementa con roles (RBAC): los permisos se asignan al rol «docente» o «control escolar», no persona por persona.
• Las cuentas de administrador se usan solo para administrar, nunca para el trabajo diario.

¿Dónde lo vas a encontrar?

En los permisos de carpetas compartidas, en los roles del sistema escolar, en las cuentas de Windows (usuario estándar frente a administrador), en los permisos de las apps del celular y en la configuración de servidores y bases de datos.

Un caso verosímil

En el área administrativa de una escuela, todos trabajan con cuentas de administrador «para poder instalar cosas sin pedir ayuda». Una secretaria abre un archivo adjunto infectado. Como su cuenta es de administrador, el malware desactiva el antivirus, se instala en el equipo y, con esos permisos, se extiende a las carpetas compartidas de toda la escuela.

Qué se perdió

• Las carpetas compartidas de varias áreas quedaron cifradas.

Qué lo habría evitado

Cuentas de usuario estándar para el trabajo diario y una cuenta de administrador separada, solo para TI. El mismo archivo, abierto con una cuenta sin privilegios, habría tenido mucho menos alcance.

Prácticas clave

Por nivel

MITRE ATT&CK: mitigaciones M1026 — Privileged Account Management y M1018 — User Account Management; limitan técnicas como T1078 — Valid Accounts y la escalada de privilegios.

• Los permisos crecen solos: cada cambio de puesto suma accesos y nadie quita los anteriores. Revísalos.
• «Por si acaso» no es una razón para dar acceso.
• Las cuentas compartidas impiden saber quién hizo qué; evítalas.
• Empieza por lo más delicado: cuentas de administrador, nómina, expedientes.
• Documenta las excepciones: si alguien necesita más permisos, que quede por escrito quién lo autorizó y hasta cuándo.

• NIST. SP 800-53 Rev. 5, control AC-6 (Least Privilege). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
• NIST. SP 800-207 — Zero Trust Architecture (2020). https://csrc.nist.gov/pubs/sp/800/207/final
• NIST. The NIST Cybersecurity Framework (CSF) 2.0 (2024), categoría PR.AA. https://www.nist.gov/cyberframework
• MITRE ATT&CK. M1026 — Privileged Account Management. https://attack.mitre.org/mitigations/M1026/