No hay nada más peligroso para una organización que un colaborador que cuente con un acceso a datos y recursos mayor de lo que necesita. Los ataques que se dan en organizaciones, se dan en gran medida gracias a colaboradores con intenciones maliciosas. El trabajo desde casa se ha vuelto la norma alrededor del mundo gracias al COVID-19. En consecuencia, las empresas que adoptan esta práctica tienen que prestar mucha atención a qué permisos tiene cada usuario y si realmente necesita de todos ellos. Esta guía te apoyará en saber respecto al «least-privilege model», que en español significa «modelo de menor privilegio».
¿Qué es el «Modelo de Menor Privilegio»?
No solamente debemos preocuparnos por el tipo de usuario que es y los permisos que requiere. Por otro lado, debemos comprender que una buena parte de éstos trabajan y se comunican mediante una variedad de dispositivos. Existen organizaciones que adoptan la práctica Bring Your Own Device (trae tu propio dispositivo). Esto último permite que las personas con un dispositivo personal con los recursos adecuados, pueda ser utilizado para las tareas de su organización.
Sugerencias para implementar el Modelo de Menor Privilegio
La puesta en marcha de este modelo tiene que ver más con las políticas internas de cada organización que con soluciones tecnológicas. Lo primero que se debe hacer es identificar cuáles son los datos que debemos proteger en primer lugar. Esto ya sea de uso indebido, robo, destrucción o cualquier otro evento que ponga en peligro la integridad de los mismos.
¿Cómo llevar esto a la práctica? Compartimos un par de sugerencias:
- Firewalls y VPN: Esto implica dejar a toda la red dentro del firewall. Por lo que los usuarios deberán conectarse siempre a una VPN para poder acceder a cierto grupo de recursos, aplicaciones y servicios de acuerdo a su rol. Puedes discriminar qué necesita ser accedido mediante VPN y qué no, de manera a poder optimizar el ancho de banda disponible y que no se forme un cuello de botella. Sobre todo, en horarios en donde puede presentarse pico de tráfico.
- Infraestructura de Escritorio Virtual: En inglés se lo conoce como Virtual Desktop Infrastructure (VDI). De esta manera, los datos y las aplicaciones se encuentran alojadas de manera centralizada. Esto, con el propósito de que sean más segura. Si una organización cuenta con trabajadores desde casa, estos pueden iniciar sesión mediante herramientas comunes como un navegador o alguna solución ya existente. Lo que se logra es una experiencia idéntica a la que tienen en la oficina, no sólo en cuanto a la velocidad de acceso sino también la seguridad. De acuerdo a cada usuario, controles de seguridad en conjunto con las políticas de red se configuran para que los usuarios tengan acceso a recursos, siempre que sean únicamente los necesarios.