DefiniciónPAM (Privileged Access Management, o gestión de accesos privilegiados) es el conjunto de procesos y herramientas que controla, monitorea y registra el uso de cuentas con permisos elevados, como administradores de sistemas, cuentas de servicio y accesos de proveedores.
Cómo funciona
Las cuentas privilegiadas pueden cambiar configuraciones, crear usuarios, desactivar defensas y acceder a grandes volúmenes de datos. Por eso son el blanco preferido de los atacantes: con una credencial de administrador, un intruso logra moverse por el entorno y, en ataques de ransomware, apagar copias de seguridad y antivirus antes de cifrar. Un programa de PAM suele reunir:
- Bóveda de credenciales: contraseñas administrativas guardadas en una bóveda, sin que el usuario necesite conocerlas.
- Rotación automática: cambio periódico o en cada uso de las contraseñas privilegiadas.
- Acceso just-in-time: privilegio concedido bajo demanda, para una tarea, y revocado al final.
- Grabación y auditoría de sesiones: registro de lo que se hizo con cada acceso privilegiado.
- MFA obligatorio para cualquier elevación de privilegio.
PAM vs IAM vs IGA
IAM (gestión de identidades y accesos) es el paraguas que autentica y autoriza a todos los usuarios. IGA (gobernanza de identidades) se ocupa del ciclo de vida y de las revisiones periódicas de todos los accesos. PAM es el recorte enfocado en los accesos de mayor riesgo, con controles más estrictos. Los tres se complementan.
Por qué importa
Un privilegio permanente es un privilegio que puede ser robado. Al reducir el número de cuentas administrativas fijas y registrar cada uso, PAM disminuye el margen para el movimiento lateral y genera evidencia para auditorías. Marcos como ISO/IEC 27001 y NIST CSF tratan la gestión de derechos de acceso privilegiado como un control esperado, y PAM es uno de los pilares prácticos de una estrategia Zero Trust.
Network Secure apoya la evaluación y la definición de controles de acceso privilegiado en programas de GRC.
Preguntas frecuentes
¿Cuál es la diferencia entre PAM e IAM?
IAM gestiona identidades y accesos de todos los usuarios. PAM es la parte enfocada en los accesos privilegiados, con bóveda de contraseñas, acceso bajo demanda y grabación de sesiones.
¿PAM ayuda contra el ransomware?
Sí. Los grupos de ransomware dependen de credenciales administrativas para propagarse y desactivar defensas; limitar y monitorear esos accesos dificulta el ataque y acelera la detección.