--- id: CP-198 slug: gestion-acceso-privilegiado-pam-cuentas-admin lang: es title: Proteger las cuentas de administrador (PAM) description: Una cuenta de administrador abre todas las puertas. Así la protege un PAM y esto es lo que hacen a diario el empleado y su responsable. canonical_url: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ markdown_url: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteger las cuentas de administrador (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ it: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Proteger las cuentas de administrador (PAM) Una cuenta con privilegios es una cuenta de sistema que posee las autorizaciones de un usuario privilegiado [1]. Un usuario privilegiado es una persona autorizada, y por tanto considerada de confianza, para realizar funciones de control, supervisión, administración o seguridad que los usuarios ordinarios no tienen permitido realizar [2]. Esta cuenta no pertenece necesariamente a un informático de la empresa. El NCSC británico emplea la palabra «administrador» tanto para una persona, como un administrador de bases de datos, como para una cuenta de sistema encargada de lanzar una tarea programada, y recuerda que la administración se confía con frecuencia a un proveedor externo [3]. Todos tienen permisos superiores a los de un usuario normal [3]. La gestión de accesos privilegiados, o PAM (Privileged Access Management), reúne las reglas y las herramientas que regulan estas cuentas. ## En 30 segundos - Dónde ocurre: en cualquier sistema donde alguien tenga derechos de administración, en el directorio de la empresa, en un equipo, un servidor o un servicio en línea. - Qué busca el atacante: obtener las credenciales de una cuenta existente, para actuar sin llamar la atención [4]. - El reflejo: usar una cuenta de administrador solo para administrar, nunca para el correo, la web o la ofimática, y pedir los derechos en el momento en que hacen falta. - Si ya ha ocurrido: avisar al equipo de seguridad. ## Preguntas directas ### ¿Qué es una cuenta con privilegios? Es una cuenta cuyos derechos superan los de un usuario ordinario: crear un usuario en un dominio, conectarse por SSH a un servidor web para modificar un archivo o configurar una alarma en una válvula industrial son tres ejemplos que da el NCSC [3]. Todas estas acciones pueden servir para causar daño, de ahí la necesidad de protegerlas [3]. ### ¿Por qué los atacantes apuntan primero a estas cuentas? Las credenciales robadas permiten eludir los controles de acceso. También sirven para mantener un acceso duradero a servicios expuestos como las VPN, el correo web o el escritorio remoto [4]. Además, una cuenta comprometida puede dar un nivel de privilegio más alto en ciertos sistemas o acceso a zonas reservadas de la red [4]. Con una credencial legítima, el atacante puede prescindir de software malicioso, lo que hace más difícil detectar su presencia [4]. Microsoft describe el mismo mecanismo para el directorio Active Directory: el atacante extrae las credenciales de las sesiones abiertas y busca en primer lugar las cuentas que ya tienen privilegios elevados, que después suplanta [5]. Los objetivos habituales son las cuentas con privilegios permanentes, las cuentas de directivos, las cuentas de directorio con privilegios y los controladores de dominio [5]. ### ¿Se puede leer el correo con una cuenta de administrador? No. Microsoft cita, entre los comportamientos que aumentan el riesgo de robo de credenciales, navegar por internet con la sesión de una cuenta con privilegios abierta y conectarse a ella desde un ordenador no seguro [5]. El fabricante recomienda no utilizar las cuentas con muchos privilegios para las tareas administrativas corrientes cuando se pueda evitar [5]. Los equipos de administración seguros no ejecutan ninguna aplicación de correo, ningún navegador ni ningún programa de ofimática [5]. ### ¿Qué significa PAM en concreto? El NCSC da la directriz: controlar con cuidado quién administra, dónde, cuándo, por qué y cómo, conceder a los administradores el mínimo privilegio y retirar el acceso cuando ya no es necesario [3]. En Microsoft, el servicio Privileged Identity Management permite gestionar, controlar y supervisar el acceso a recursos importantes de la organización [6]. MITRE añade la supervisión del uso de las cuentas privilegiadas y la responsabilidad garantizada mediante el registro y la auditoría [7]. ## Cómo funciona Un PAM reúne varios elementos. Primero, una caja fuerte de contraseñas. MITRE recomienda herramientas de caja fuerte para el almacenamiento y la rotación de las credenciales, y cita CyberArk, HashiCorp Vault o KeePass como ejemplos [7]. Para las contraseñas de los administradores locales, la misma ficha cita Microsoft LAPS [7]. Segundo, la elevación temporal de derechos. En el servicio Privileged Identity Management de Microsoft Entra, un empleado puede ser «elegible» para un rol sin tenerlo de forma permanente. Cuando lo necesita, lo activa durante un tiempo limitado, dentro de un máximo fijado por los administradores, indicando el motivo de su solicitud [6]. La activación puede exigir una verificación de autenticación multifactor, una justificación profesional o la aprobación de un aprobador designado [6]. Pasado el plazo, el rol se desactiva: es el principio del acceso «justo a tiempo», en el que los permisos temporales impiden que un usuario malintencionado o no autorizado acceda a ellos tras su vencimiento [6]. El mismo servicio envía una notificación cuando se activa un rol con privilegios y permite revisiones de acceso para comprobar que cada persona sigue necesitando su rol [6]. Tercero, la trazabilidad. El NCSC pide registrar todas las actividades de administración y auditarlas, para comprobar que los administradores solo realizan acciones legítimas y aprobadas [3]. El servicio de Microsoft permite descargar el historial de auditoría [6]. Microsoft recomienda además supervisar el directorio para detectar señales de ataque [5]. Cuarto, la autenticación fuerte. Exige al menos dos pruebas de identidad: lo que se sabe, lo que se posee, lo que se es [8]. MITRE aconseja imponerla a todas las cuentas privilegiadas [7] y en particular a los roles con privilegios [8]. Microsoft la exige al utilizar cuentas privilegiadas o para las tareas de administración [5]. Por último, la separación de cuentas. En su modelo, Microsoft crea una cuenta de usuario de equipo seguro y una cuenta distinta de administrador de dispositivos [9]. El NCSC recomienda una administración por niveles, porque no todas las administraciones presentan el mismo riesgo [3]. ## Qué hace usted Los gestos del empleado se resumen en cuatro puntos. - Separar los dos usos. La cuenta diaria sirve para el correo, la web y la ofimática. La cuenta de administración solo sirve para administrar, en un equipo previsto para ello [5]. - Pedir los derechos cuando hacen falta. Si su función exige un acceso elevado de vez en cuando, utilice el procedimiento de activación o de solicitud de aprobación de su empresa en lugar de conservar derechos permanentes [6]. Microsoft va en la misma línea: eliminar la pertenencia permanente a los grupos con muchos privilegios y conceder una pertenencia temporal cuando es necesaria [5]. - Aceptar la autenticación fuerte. Microsoft pide imponerla al menos a los administradores [9]. - No conservar sin necesidad derechos de administrador local en su equipo. Microsoft prevé retirar esos derechos a los usuarios de sus equipos privilegiados [9], y MITRE recomienda sacar a los usuarios del grupo de administradores locales [7]. Para un responsable, la tarea consiste en limitar el número de personas que tienen acceso a la información sensible, lo que reduce el riesgo de que un actor malintencionado acceda a ella y de que un usuario autorizado toque por descuido un recurso sensible [6]. Un aprobador designado recibe una notificación por correo cuando una solicitud de rol espera su aprobación [6]. ## Las trampas - La contraseña de administrador reutilizada. MITRE explica que reutilizar contraseñas puede permitir abusar de cuentas locales en un conjunto de máquinas, para elevar privilegios y desplazarse de un equipo a otro [10]. Microsoft incluye entre las configuraciones de riesgo las cuentas privilegiadas locales con las mismas credenciales en todos los sistemas [5]. - La cuenta inactiva. El atacante puede abusar de cuentas inactivas, por ejemplo las de personas que han dejado la organización, porque el usuario original ya no está para notar una actividad anómala [4]. Las revisiones de acceso permiten comprobar que los usuarios siguen necesitando su rol [6]. - Demasiadas cuentas poderosas. Asignar demasiados usuarios a los grupos de dominio privilegiados fomenta su uso excesivo [5]. - El robo de credenciales. Iniciar sesión con una cuenta privilegiada en un ordenador no seguro expone esas credenciales [5]. - Derechos que se solapan entre cuentas locales, de dominio y en línea. MITRE lo considera preocupante, porque el atacante puede pasar de una cuenta y un sistema a otros hasta llegar a un nivel de administrador de dominio o de empresa [4]. ## Casos reales ### Ataque contra la red eléctrica ucraniana, 2015 En este ataque, el grupo Sandworm Team utilizó cuentas válidas en la red corporativa para elevar sus privilegios, desplazarse lateralmente e instalarse de forma duradera en esa red [4]. ## Fuentes 1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultado el 3 de noviembre de 2026) 2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Secure system administration», 15 de septiembre de 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado el 3 de noviembre de 2026) 5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultado el 3 de noviembre de 2026) 6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultado el 3 de noviembre de 2026) 9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultado el 3 de noviembre de 2026) 10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.