Cómo dar acceso seguro a proveedores y contratistas: del mínimo privilegio a la baja
Proveedores y contratistas suelen tener las llaves de sus sistemas. Así se concede el acceso con seguridad, del mínimo privilegio y las cuentas con nombre a la baja.
Para dar acceso a proveedores y contratistas de forma segura, asigne a cada persona externa su propia cuenta con nombre (nunca un usuario compartido), conceda solo los sistemas y datos que necesita, exija autenticación multifactor, ponga fecha de vencimiento al acceso, canalice las conexiones por una herramienta de acceso remoto controlada, registre lo que hace y desactive todo el mismo día en que termina el trabajo. Deje estas condiciones por escrito en el contrato antes de conceder el acceso. Esta guía explica cada paso y le ofrece una lista de verificación para dar de alta y de baja a la ayuda externa.
Por qué el acceso de proveedores es un riesgo real
Las pequeñas empresas dependen de ayuda externa: firmas contables, fabricantes de software, proveedores de TI, agencias de marketing, desarrolladores web, empresas de copiadoras y telefonía, trabajadores independientes. Cada uno puede tener contraseñas o acceso remoto a sus sistemas, y su seguridad pasa a formar parte de la suya.
La guía de la FTC para pequeñas empresas señala que los proveedores pueden tener acceso a información sensible de su negocio y de sus clientes, y recomienda incluir cláusulas de seguridad en los contratos, verificar el cumplimiento en lugar de darlo por hecho y limitar el acceso de los proveedores a lo estrictamente necesario, con cifrado y autenticación multifactor. CISA y otras agencias también han advertido específicamente sobre atacantes que apuntan a los proveedores de servicios administrados (MSP) para llegar a sus clientes, y publicaron recomendaciones para esos clientes en un aviso conjunto.
Principio 1: mínimo privilegio
El mínimo privilegio significa que cada persona recibe el acceso mínimo necesario para hacer su trabajo, durante el tiempo que lo necesite, y nada más.
En la práctica:
- Un tenedor de libros necesita el sistema contable, no el servidor de archivos ni la consola de administración del correo.
- Un desarrollador web necesita acceso al entorno de pruebas del sitio y al panel de hosting, no a Microsoft 365.
- Un fabricante de software que da soporte a su sistema de gestión necesita acceso a ese servidor durante una sesión de soporte, no acceso permanente a toda la red.
- Un proveedor de TI necesita permisos de administrador, pero limitados a los sistemas que administra. El aviso de CISA sobre los MSP recomienda que los clientes mantengan, en lo posible, las cuentas del proveedor fuera de los grupos internos de administradores y las restrinjan a los sistemas que el proveedor realmente administra.
Antes de conceder un acceso, escriba en una frase qué necesita hacer el proveedor y qué sistemas requiere para ello. Si no puede describirlo, todavía no lo conceda.
Principio 2: cuentas separadas y con nombre
Nunca comparta el usuario de un empleado con un proveedor, y evite cuentas genéricas como "soporte" o "proveedor1" que usan muchas personas.
- Cree una cuenta con nombre para cada persona externa, claramente identificada (por ejemplo, con "ext" o el nombre del proveedor) para que destaque en su lista de usuarios.
- Use el acceso de invitado cuando la plataforma lo permita. En Microsoft 365, los colaboradores externos a menudo pueden invitarse como invitados a equipos de Teams o sitios de SharePoint concretos, en lugar de recibir una cuenta completa de la empresa.
- Mantenga separadas las cuentas de administrador de las cuentas de uso diario, tanto para proveedores como para el personal.
- Nunca envíe contraseñas por correo electrónico. Use la función para compartir de forma segura de un gestor de contraseñas o deje que el proveedor cree su propia contraseña mediante un enlace de invitación.
Las cuentas con nombre le dan dos ventajas: puede desactivar a una persona sin afectar a nadie más, y sus registros muestran quién hizo qué.
Principio 3: exija MFA
Toda cuenta de proveedor que pueda llegar a sus sistemas o datos debe usar autenticación multifactor, como recomiendan tanto la FTC como CISA. Eso incluye las herramientas de acceso remoto, los portales de administración en la nube, los paneles de hosting y su software de gestión cuando admita MFA. CISA sugiere además revisar la configuración de MFA en busca de debilidades, como configuraciones que "fallan en abierto" o que permiten volver a inscribirse con demasiada facilidad.
Principio 4: acceso con fecha de vencimiento
La mayoría de los accesos externos no deberían ser permanentes.
- Fije una fecha de vencimiento para las cuentas de contratistas por proyecto. Muchas plataformas de identidad, incluida Microsoft Entra, permiten revisiones de acceso o el vencimiento de cuentas.
- Use sesiones remotas a demanda. En lugar de dejar instalado un software de acceso remoto permanente y sin supervisión, use una herramienta en la que su personal apruebe cada sesión, o habilite la cuenta del proveedor solo durante la ventana de soporte programada.
- Conceda permisos de administrador justo a tiempo cuando sus herramientas lo permitan, y retírelos al terminar la tarea.
- Revise las cuentas de proveedores cada trimestre. Pregúntese: ¿este proveedor sigue trabajando con nosotros? ¿Esta cuenta aún necesita este nivel de acceso? ¿Cuándo se usó por última vez?
Principio 5: controle y registre la conexión
- Canalice las conexiones de proveedores por una única vía aprobada, como su VPN con MFA, un servicio de acceso de confianza cero o una herramienta de soporte remoto que usted controle. CISA recomienda una conexión dedicada y segura para el tráfico del proveedor.
- No abra el Escritorio remoto a internet para comodidad de un proveedor.
- Active los registros de inicios de sesión y acciones administrativas, y consérvelos el tiempo suficiente para investigar un problema más adelante. El aviso de CISA sobre los MSP recomienda conservar los registros importantes al menos seis meses.
- Separe los equipos administrados por proveedores, como centrales telefónicas, cámaras o controles del edificio, en su propio segmento de red siempre que sea posible.
Déjelo en el contrato
Las expectativas de seguridad son mucho más fáciles de exigir cuando quedan por escrito antes de empezar el trabajo. Considere incluir:
- los sistemas y datos concretos a los que el proveedor puede acceder, y con qué fin;
- la obligación de usar cuentas con nombre y MFA, y de no compartir credenciales;
- con qué rapidez debe el proveedor avisarle de un incidente de seguridad que pueda afectarle;
- quién se encarga de cada tarea de seguridad (en el caso de un proveedor de TI: parches, monitoreo, copias de seguridad, respuesta a incidentes);
- la devolución o eliminación de sus datos al terminar la relación;
- su derecho a revisar las prácticas de seguridad del proveedor, por ejemplo mediante un cuestionario o una evaluación independiente.
Según su sector, la normativa puede exigir parte de esto. Por ejemplo, los proveedores de salud necesitan acuerdos de socio comercial (business associate agreements) bajo HIPAA, y las empresas financieras sujetas a la Regla de Salvaguardas de la FTC deben supervisar a sus proveedores de servicios. Pregunte a sus asesores qué normas le aplican.
La baja: el paso que se olvida
El aviso de CISA sobre los MSP señala que la desactivación de las cuentas del proveedor puede pasarse por alto cuando termina un contrato. Convierta la baja en una lista de verificación y ejecútela el mismo día en que termina el trabajo:
- Desactive las cuentas del proveedor en todos los sistemas: Microsoft 365 o Google Workspace, VPN, aplicaciones del negocio, hosting, firewall y consolas en la nube.
- Elimine el software de acceso remoto que haya instalado, y revoque las claves de API o contraseñas de aplicación que haya creado.
- Cambie los secretos compartidos que conocía: contraseñas de Wi-Fi, contraseñas de cuentas de servicio, códigos de alarma y de puertas.
- Transfiera la titularidad de todo lo que haya registrado en su nombre, como dominios, DNS, hosting, licencias de software y redes sociales, a una cuenta de la empresa. Hágalo antes de que termine la relación, no después.
- Recoja los equipos y documentos de la empresa, y confirme por escrito que sus datos fueron devueltos o eliminados.
- Anote la fecha y quién completó la baja.
Haga la misma revisión cuando un técnico concreto del proveedor deje su empresa: pida a sus proveedores que le avisen cuando alguien con acceso a sus sistemas se marche.
Lista de verificación de accesos de proveedores
- Inventario de todos los proveedores con acceso, a qué llegan y quién lo aprobó
- Cláusulas de seguridad en el contrato antes de conceder el acceso
- Cuentas con nombre o acceso de invitado, nunca usuarios compartidos
- MFA en todas las cuentas de proveedores
- Mínimo privilegio, con fechas de vencimiento y revisiones trimestrales
- Una única vía de conexión controlada, con registros
- Lista de baja ejecutada el mismo día
Los socios externos son esenciales para una pequeña empresa, y darles acceso de forma segura es sobre todo cuestión de disciplina. Si desea ayuda para revisar quién tiene acceso hoy a sus sistemas, o para configurar cuentas con nombre, MFA y un proceso de baja ordenado para su empresa en Miami-Dade o en cualquier parte del sur de la Florida, solicite una evaluación de TI gratuita.
