Mínimo privilegio y acceso Just-In-Time
El mínimo privilegio limita los derechos a lo estrictamente necesario; el acceso Just-In-Time los concede por un tiempo limitado. Qué hace usted.
En 30 segundos
- Dónde ocurre
- En cualquier puesto o servicio donde existan derechos de administrador, por ejemplo la administración de Microsoft 365 o de un directorio corporativo2.
- Lo que busca el atacante
- Usar una cuenta existente y sus derechos, lo que a veces le evita emplear un software malicioso y hace que su presencia sea más difícil de detectar4.
- El reflejo
- Pedir un acceso elevado por un tiempo limitado y con un motivo claro, no prestar nunca sus derechos de administrador y comunicar los derechos que ya no se usan.
- Si ya ha ocurrido
- Avisar al departamento de informática, que puede retirar los derechos que han dejado de ser necesarios durante una revisión de accesos3.
De qué se trata
El mínimo privilegio es un principio de seguridad: un sistema debe limitar los derechos de acceso de los usuarios, o de los programas que actúan en su nombre, al mínimo necesario para realizar las tareas asignadas1. Un empleado que solo necesita leer una carpeta no debería poder eliminarla.
El acceso Just-In-Time (justo a tiempo) lleva la idea más lejos en el caso de los derechos elevados. Los usuarios reciben permisos temporales para realizar tareas privilegiadas, y el acceso se concede únicamente en el momento en que lo necesitan2. Cuando se agota el plazo, el acceso privilegiado se elimina automáticamente3.
Preguntas directas
¿Por qué limitar los derechos de un empleado de confianza?
Las organizaciones limitan el número de personas con acceso a los recursos sensibles para reducir dos riesgos: que un usuario malintencionado acceda a esos datos y que un usuario autorizado afecte por descuido a un recurso sensible2. Microsoft añade que, al limitar los roles y los ámbitos, se limitan los recursos amenazados si la cuenta se ve comprometida3.
¿Qué significa «justo a tiempo» en la práctica?
El empleado no tiene un derecho de administrador permanente. Es «elegible» para un rol y lo activa cuando debe realizar una tarea privilegiada. La activación puede exigir una verificación multifactor, una justificación profesional o la aprobación de un aprobador designado2. Una vez activado, el rol sigue siendo utilizable durante un periodo predefinido; después, el usuario debe activarlo de nuevo2.
¿El mínimo privilegio afecta solo a los administradores?
No. OWASP lo describe como una regla que debe aplicarse en todos los niveles: un contable y un comercial ocupan el mismo rango jerárquico, pero no necesitan los mismos recursos. El contable no debería acceder a la base de datos de clientes, ni el comercial a los datos de nóminas5.
¿Qué ocurre si caduca una solicitud de acceso?
Según la documentación de Microsoft, cuando una asignación de rol se acerca a su caducidad, el usuario puede solicitar una ampliación. Una vez caducada, puede solicitar una renovación. Ambas solicitudes requieren la aprobación de un administrador global o de un administrador de roles con privilegios2.
1Cómo funciona2 min
El funcionamiento descrito aquí sigue la herramienta Privileged Identity Management de Microsoft, un ejemplo entre otros. Un administrador asigna un rol a un usuario, a un grupo o a una identidad de servicio. La asignación precisa el ámbito (el rol solo vale para un conjunto determinado de recursos), su tipo (elegible o activa) y su duración, con fechas de inicio y fin o sin límite2.
Para activar un rol elegible, el usuario elige una duración de activación dentro de los límites fijados por los administradores e indica el motivo de su solicitud2. La herramienta puede exigir una aprobación, imponer la autenticación multifactor, enviar notificaciones al activarse y conservar un historial de auditoría2. MITRE cita también los roles efímeros de otros proveedores de nube para conceder permisos elevados limitados en el tiempo6.
Microsoft recomienda combinar varios controles, porque ninguna función por sí sola cubre todos los casos. Su ejemplo: un rol personalizado limitado a una unidad administrativa, de modo que un administrador de soporte regional solo pueda restablecer las contraseñas de su región. La activación pasa después por PIM, con aprobación, y el acceso condicional exige un dispositivo conforme y la autenticación multifactor3.
El NCSC británico define así el enfoque «zero trust»: se elimina la confianza inherente a la red, se supone que la red es hostil y cada solicitud se verifica según una política de acceso7. La CISA lo asocia a decisiones de acceso de mínimo privilegio, solicitud por solicitud8.
2Qué hace usted1 min
- Solicite el acceso cuando lo necesite, con una duración adecuada a la tarea y un motivo concreto. El motivo indicado en la activación sirve para entender por qué se usó el rol2.
- Use el rol estrecho que corresponda a la tarea. Microsoft desaconseja asignar roles más amplios o sobre ámbitos mayores, aunque parezcan más prácticos3.
- Guarde sus derechos de administrador para sí. La activación de un rol la hace un usuario y genera una notificación, y el historial de auditoría la conserva2. OWASP señala que, sin un registro adecuado, una infracción de acceso puede seguir siendo imposible de atribuir a una persona5.
- Si cambia de equipo o de misión, pida que se retiren los derechos de su antigua función. Microsoft observa que, sin auditoría, las personas que cambian de equipo acumulan accesos innecesarios3.
- Responda a las revisiones de acceso: sirven para comprobar que los usuarios siguen necesitando sus roles2.
- Active la autenticación multifactor en las cuentas de administración. Microsoft indica que, según sus estudios, una cuenta es un 99,9 % menos propensa a verse comprometida con ella3.
3Las trampas2 min
Los derechos que se acumulan. OWASP llama «privilege creep» al caso en que los privilegios de los usuarios superan los definidos al principio. Recomienda una revisión periódica y recuerda que es más fácil añadir permisos que retirarlos5.
Las cuentas de administración permanentes. El acceso privilegiado permanente es lo que PIM pretende eliminar para los usuarios con un rol privilegiado3. Microsoft recomienda dar el rol de administrador global a menos de cinco personas y limitar las asignaciones de roles privilegiados a menos de 10, porque esos roles permiten una elevación de privilegios3. Prevé una excepción: dos cuentas de acceso de emergencia, asignadas de forma definitiva, no vinculadas a personas y reservadas para situaciones de «rotura de cristal»3.
Las cuentas olvidadas. MITRE señala que los adversarios pueden abusar de cuentas inactivas, por ejemplo las de personas que han dejado la organización, porque el antiguo titular ya no está para notar una actividad anómala4. MITRE recomienda además desactivar las cuentas tras un periodo de inactividad (30 días como ejemplo) y eliminar las cuentas sin propietario durante las auditorías9.
Las cuentas de servicio demasiado poderosas. Las asignaciones de roles pueden dirigirse a entidades de servicio o a identidades administradas, igual que a personas2. Para los administradores, Microsoft distingue tres aspectos de una asignación de rol: un conjunto específico de permisos, sobre un ámbito específico, durante un periodo específico3.
Las mismas credenciales en todas partes. MITRE se preocupa por el solapamiento de permisos entre cuentas locales, de dominio y de nube: un adversario puede pasar de una cuenta a otra hasta alcanzar un nivel elevado de acceso, como administrador de dominio4.
4Casos reales1 min
2015: el ataque contra la red eléctrica ucraniana
Según MITRE, en el ataque de 2015 contra la red eléctrica ucraniana, el grupo Sandworm Team usó cuentas válidas en la red corporativa para elevar sus privilegios, desplazarse lateralmente e instalarse de forma duradera4. La fuente no detalla qué derechos tenían esas cuentas.
Ficha
- Identificador
- CP-197
- Ala
- 3. Protocolos y defensa
- Competencia Brain
- Controlar los accesos (control_access)
- Reflejo Brain
- cr-029
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 9 fuentes verificadas el 3 de noviembre de 2026
Fuentes9 fuentes
- NIST, «least privilege - Glossary | CSRC». https://csrc.nist.gov/glossary/term/least_privilege (consultado el 3 de noviembre de 2026)
- Microsoft, «Qu’est-ce que Microsoft Entra Privileged Identity Management ?». https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (consultado el 3 de noviembre de 2026)
- Microsoft, «Meilleures pratiques pour les rôles Microsoft Entra». https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise». https://attack.mitre.org/techniques/T1078/ (consultado el 3 de noviembre de 2026)
- OWASP, «Authorization - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise». https://attack.mitre.org/mitigations/M1026/ (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado el 3 de noviembre de 2026)
- CISA, «Zero Trust Maturity Model». https://www.cisa.gov/zero-trust-maturity-model (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise». https://attack.mitre.org/mitigations/M1018/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Mínimo privilegio y acceso Just-In-Time», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp197_es_2026,
author = {Brain},
title = {Mínimo privilegio y acceso Just-In-Time},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/},
note = {CC BY 4.0}
}