--- id: CP-197 slug: minimo-privilegio-acceso-jit lang: es title: Mínimo privilegio y acceso Just-In-Time description: El mínimo privilegio limita los derechos a lo estrictamente necesario; el acceso Just-In-Time los concede por un tiempo limitado. Qué hace usted. canonical_url: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ markdown_url: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Mínimo privilegio y acceso Just-In-Time», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-029 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ fr: https://startbrain.io/cyberpedia/fr/articles/moindre-privilege-acces-jit/ en: https://startbrain.io/cyberpedia/en/articles/least-privilege-just-in-time-access/ de: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ it: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ sources: - "n": 1 title: least privilege - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/least_privilege accessed: "2026-11-03" - "n": 2 title: Qu’est-ce que Microsoft Entra Privileged Identity Management ? publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 3 title: Meilleures pratiques pour les rôles Microsoft Entra publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Authorization - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Privileged Account Management, Mitigation M1026 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 7 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 8 title: Zero Trust Maturity Model publisher: CISA url: https://www.cisa.gov/zero-trust-maturity-model accessed: "2026-11-03" - "n": 9 title: User Account Management, Mitigation M1018 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" --- # Mínimo privilegio y acceso Just-In-Time El mínimo privilegio es un principio de seguridad: un sistema debe limitar los derechos de acceso de los usuarios, o de los programas que actúan en su nombre, al mínimo necesario para realizar las tareas asignadas [1]. Un empleado que solo necesita leer una carpeta no debería poder eliminarla. El acceso Just-In-Time (justo a tiempo) lleva la idea más lejos en el caso de los derechos elevados. Los usuarios reciben permisos temporales para realizar tareas privilegiadas, y el acceso se concede únicamente en el momento en que lo necesitan [2]. Cuando se agota el plazo, el acceso privilegiado se elimina automáticamente [3]. ## En 30 segundos - Dónde ocurre: en cualquier puesto o servicio donde existan derechos de administrador, por ejemplo la administración de Microsoft 365 o de un directorio corporativo [2]. - Lo que busca el atacante: usar una cuenta existente y sus derechos, lo que a veces le evita emplear un software malicioso y hace que su presencia sea más difícil de detectar [4]. - El reflejo: pedir un acceso elevado por un tiempo limitado y con un motivo claro, no prestar nunca sus derechos de administrador y comunicar los derechos que ya no se usan. - Si ya ha ocurrido: avisar al departamento de informática, que puede retirar los derechos que han dejado de ser necesarios durante una revisión de accesos [3]. ## Preguntas directas ### ¿Por qué limitar los derechos de un empleado de confianza? Las organizaciones limitan el número de personas con acceso a los recursos sensibles para reducir dos riesgos: que un usuario malintencionado acceda a esos datos y que un usuario autorizado afecte por descuido a un recurso sensible [2]. Microsoft añade que, al limitar los roles y los ámbitos, se limitan los recursos amenazados si la cuenta se ve comprometida [3]. ### ¿Qué significa «justo a tiempo» en la práctica? El empleado no tiene un derecho de administrador permanente. Es «elegible» para un rol y lo activa cuando debe realizar una tarea privilegiada. La activación puede exigir una verificación multifactor, una justificación profesional o la aprobación de un aprobador designado [2]. Una vez activado, el rol sigue siendo utilizable durante un periodo predefinido; después, el usuario debe activarlo de nuevo [2]. ### ¿El mínimo privilegio afecta solo a los administradores? No. OWASP lo describe como una regla que debe aplicarse en todos los niveles: un contable y un comercial ocupan el mismo rango jerárquico, pero no necesitan los mismos recursos. El contable no debería acceder a la base de datos de clientes, ni el comercial a los datos de nóminas [5]. ### ¿Qué ocurre si caduca una solicitud de acceso? Según la documentación de Microsoft, cuando una asignación de rol se acerca a su caducidad, el usuario puede solicitar una ampliación. Una vez caducada, puede solicitar una renovación. Ambas solicitudes requieren la aprobación de un administrador global o de un administrador de roles con privilegios [2]. ## Cómo funciona El funcionamiento descrito aquí sigue la herramienta Privileged Identity Management de Microsoft, un ejemplo entre otros. Un administrador asigna un rol a un usuario, a un grupo o a una identidad de servicio. La asignación precisa el ámbito (el rol solo vale para un conjunto determinado de recursos), su tipo (elegible o activa) y su duración, con fechas de inicio y fin o sin límite [2]. Para activar un rol elegible, el usuario elige una duración de activación dentro de los límites fijados por los administradores e indica el motivo de su solicitud [2]. La herramienta puede exigir una aprobación, imponer la autenticación multifactor, enviar notificaciones al activarse y conservar un historial de auditoría [2]. MITRE cita también los roles efímeros de otros proveedores de nube para conceder permisos elevados limitados en el tiempo [6]. Microsoft recomienda combinar varios controles, porque ninguna función por sí sola cubre todos los casos. Su ejemplo: un rol personalizado limitado a una unidad administrativa, de modo que un administrador de soporte regional solo pueda restablecer las contraseñas de su región. La activación pasa después por PIM, con aprobación, y el acceso condicional exige un dispositivo conforme y la autenticación multifactor [3]. El NCSC británico define así el enfoque «zero trust»: se elimina la confianza inherente a la red, se supone que la red es hostil y cada solicitud se verifica según una política de acceso [7]. La CISA lo asocia a decisiones de acceso de mínimo privilegio, solicitud por solicitud [8]. ## Qué hace usted - Solicite el acceso cuando lo necesite, con una duración adecuada a la tarea y un motivo concreto. El motivo indicado en la activación sirve para entender por qué se usó el rol [2]. - Use el rol estrecho que corresponda a la tarea. Microsoft desaconseja asignar roles más amplios o sobre ámbitos mayores, aunque parezcan más prácticos [3]. - Guarde sus derechos de administrador para sí. La activación de un rol la hace un usuario y genera una notificación, y el historial de auditoría la conserva [2]. OWASP señala que, sin un registro adecuado, una infracción de acceso puede seguir siendo imposible de atribuir a una persona [5]. - Si cambia de equipo o de misión, pida que se retiren los derechos de su antigua función. Microsoft observa que, sin auditoría, las personas que cambian de equipo acumulan accesos innecesarios [3]. - Responda a las revisiones de acceso: sirven para comprobar que los usuarios siguen necesitando sus roles [2]. - Active la autenticación multifactor en las cuentas de administración. Microsoft indica que, según sus estudios, una cuenta es un 99,9 % menos propensa a verse comprometida con ella [3]. ## Las trampas Los derechos que se acumulan. OWASP llama «privilege creep» al caso en que los privilegios de los usuarios superan los definidos al principio. Recomienda una revisión periódica y recuerda que es más fácil añadir permisos que retirarlos [5]. Las cuentas de administración permanentes. El acceso privilegiado permanente es lo que PIM pretende eliminar para los usuarios con un rol privilegiado [3]. Microsoft recomienda dar el rol de administrador global a menos de cinco personas y limitar las asignaciones de roles privilegiados a menos de 10, porque esos roles permiten una elevación de privilegios [3]. Prevé una excepción: dos cuentas de acceso de emergencia, asignadas de forma definitiva, no vinculadas a personas y reservadas para situaciones de «rotura de cristal» [3]. Las cuentas olvidadas. MITRE señala que los adversarios pueden abusar de cuentas inactivas, por ejemplo las de personas que han dejado la organización, porque el antiguo titular ya no está para notar una actividad anómala [4]. MITRE recomienda además desactivar las cuentas tras un periodo de inactividad (30 días como ejemplo) y eliminar las cuentas sin propietario durante las auditorías [9]. Las cuentas de servicio demasiado poderosas. Las asignaciones de roles pueden dirigirse a entidades de servicio o a identidades administradas, igual que a personas [2]. Para los administradores, Microsoft distingue tres aspectos de una asignación de rol: un conjunto específico de permisos, sobre un ámbito específico, durante un periodo específico [3]. Las mismas credenciales en todas partes. MITRE se preocupa por el solapamiento de permisos entre cuentas locales, de dominio y de nube: un adversario puede pasar de una cuenta a otra hasta alcanzar un nivel elevado de acceso, como administrador de dominio [4]. ## Casos reales ### 2015: el ataque contra la red eléctrica ucraniana Según MITRE, en el ataque de 2015 contra la red eléctrica ucraniana, el grupo Sandworm Team usó cuentas válidas en la red corporativa para elevar sus privilegios, desplazarse lateralmente e instalarse de forma duradera [4]. La fuente no detalla qué derechos tenían esas cuentas. ## Fuentes 1. NIST, «least privilege - Glossary | CSRC». https://csrc.nist.gov/glossary/term/least_privilege (consultado el 3 de noviembre de 2026) 2. Microsoft, «Qu’est-ce que Microsoft Entra Privileged Identity Management ?». https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (consultado el 3 de noviembre de 2026) 3. Microsoft, «Meilleures pratiques pour les rôles Microsoft Entra». https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise». https://attack.mitre.org/techniques/T1078/ (consultado el 3 de noviembre de 2026) 5. OWASP, «Authorization - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise». https://attack.mitre.org/mitigations/M1026/ (consultado el 3 de noviembre de 2026) 7. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado el 3 de noviembre de 2026) 8. CISA, «Zero Trust Maturity Model». https://www.cisa.gov/zero-trust-maturity-model (consultado el 3 de noviembre de 2026) 9. MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise». https://attack.mitre.org/mitigations/M1018/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.