Equipo Consultto
Especialistas en sistemas de gestión · 14 sep 2026
La pregunta del auditor fue simple: quién tiene privilegios de administrador en los sistemas que sostienen el servicio. La lista tardó dos días en armarse porque nadie la tenía escrita, y cuando salió traía nueve cuentas. Dos correspondían a personas que se habían ido, una de ellas hacía catorce meses. Tres eran cuentas genéricas que compartían el equipo de infraestructura y el proveedor de soporte, con la contraseña en un documento de la carpeta compartida. Las cuatro restantes eran de gente que sí trabajaba ahí, pero ninguna tenía registro de quién había autorizado el privilegio ni por cuánto tiempo. El sistema funcionaba bien y llevaba años sin un incidente; lo que no existía era la forma de demostrar quién podía hacer qué, ni de reconstruir quién había hecho algo.
Un acceso privilegiado es aquel que permite ir más allá del uso normal de un sistema: crear y borrar usuarios, cambiar configuraciones de seguridad, leer datos de todos los demás, instalar componentes, apagar controles y, en el caso que más importa, alterar o borrar los registros que dejarían constancia de lo anterior. Entran ahí el administrador de dominio, el administrador de base de datos, la cuenta raíz del servidor, el superusuario de la aplicación de negocio, las credenciales de la consola del proveedor de nube y las llaves de servicio que usan los procesos automáticos. Esa última categoría casi siempre se olvida y suele ser la que más privilegios acumula.
La norma los trata aparte porque el riesgo cambia de naturaleza. Una cuenta común mal usada afecta la información a la que esa persona tenía acceso; una cuenta privilegiada mal usada, o robada, afecta al sistema completo y puede eliminar la evidencia de lo ocurrido. Por eso las buenas prácticas se apoyan en dos principios: el de privilegio mínimo, que dice que cada quien debe tener solo lo que su función requiere, y el de segregación de funciones, que dice que quien ejecuta un cambio no debería ser el único que lo aprueba ni el que controla su propio registro. Un equipo de tres personas no puede segregar como uno de treinta, pero puede compensar con revisión cruzada y con registro que el administrador no pueda tocar.
Hay una regla práctica que resuelve buena parte del problema y casi nadie aplica: la cuenta privilegiada debe ser nominativa y distinta de la cuenta de uso diario. La misma persona tiene su usuario normal para el correo y los documentos, y una cuenta administrativa separada que solo usa cuando va a ejecutar una tarea que la requiere. Eso vuelve legible el registro, reduce la superficie expuesta al abrir un correo con el usuario de todos los días, y hace posible aplicar autenticación reforzada y controles distintos a la cuenta que de verdad importa. Las cuentas genéricas compartidas son lo contrario de eso: convierten cualquier registro en inútil, porque la bitácora dice admin y admin son cinco personas y un proveedor.
El control de derechos de acceso privilegiado pide, en primer lugar, que la asignación esté restringida y gestionada por un proceso formal de autorización, alineado con la política de control de acceso. En la práctica eso significa una solicitud con justificación de por qué esa función necesita ese privilegio, una aprobación de quien es responsable del sistema o del dato, un registro de la aprobación y una fecha de vencimiento o una revisión programada. El privilegio permanente por defecto, asignado alguna vez y nunca revisado, es exactamente lo que el control busca evitar, y es lo que se encuentra en la mayoría de las organizaciones que nunca lo trabajaron.
En segundo lugar pide mantener la lista y revisarla con periodicidad definida. La revisión de derechos de acceso no es un vistazo informal: es un ejercicio en el que el responsable del sistema confirma, cuenta por cuenta, que el privilegio sigue siendo necesario, y en el que las bajas y los cambios de puesto se cruzan contra el alta y baja de personal. Ese cruce es el que detecta las cuentas huérfanas, y es también la evidencia que el auditor pide: no basta con decir que se revisa, hay que mostrar la revisión firmada y qué se retiró a partir de ella. La revocación al momento de la baja o del cambio de función es un requisito propio, y su plazo debe estar definido, no quedar al ritmo de la carga de trabajo.
El tercer bloque son los controles técnicos que hacen creíble lo anterior. Autenticación reforzada, con un segundo factor, sobre toda cuenta privilegiada. Custodia de las credenciales en una bóveda en lugar de un archivo compartido, con préstamo de la contraseña por sesión y cambio posterior cuando el sistema lo permite. Restricción del uso de programas utilitarios capaces de saltarse los controles de la aplicación y del sistema operativo. Registro de la actividad privilegiada enviado a un destino que el propio administrador no pueda modificar ni borrar, con revisión periódica de los eventos relevantes. Y un procedimiento de acceso de emergencia, con credenciales selladas, uso justificado y revisión obligatoria posterior, para que la excepción no se convierta en la práctica habitual.
La ISO 9001 no habla de cuentas ni de privilegios, pero sí de información documentada, y ahí se cruzan. La norma pide que la información documentada esté controlada para asegurar que está disponible cuando se necesita y que está protegida adecuadamente, incluida la pérdida de integridad y el uso inadecuado, y pide que el control cubra la distribución, el acceso, la recuperación, el almacenamiento y la conservación. Un registro de calidad que cualquier administrador pueda editar sin dejar rastro no cumple esa protección, por más que el procedimiento en papel diga que está controlado. Cuando los registros viven en un sistema, el control de acceso es el control de documentos.
Los otros dos puntos de contacto son la competencia y los proveedores externos. La organización debe determinar la competencia necesaria de quien realiza trabajo que afecta el desempeño, y el privilegio administrativo sobre los sistemas que sostienen el proceso es precisamente ese tipo de trabajo. Y el control de proveedores externos aplica de lleno cuando el soporte de infraestructura está subcontratado: los requisitos que se le comunican al proveedor deben incluir cómo se le otorgan y retiran los accesos, qué registra y qué reporta. Una cuenta administrativa de un proveedor que sigue activa después de terminado el contrato es hallazgo en las dos normas.
En servicios financieros y en cualquier empresa que atienda cuestionarios de clientes corporativos, la pregunta por el acceso privilegiado aparece siempre y suele venir acompañada de la exigencia de evidencia: captura de la revisión trimestral, muestra del registro de actividad, prueba del segundo factor. En salud y en tecnología que trata datos personales, la trazabilidad de quién consultó qué expediente es un requisito legal antes que normativo, y el privilegio administrativo es justo lo que puede evadirla, de modo que el registro de esa actividad recibe protección especial. En software que opera para terceros, el compromiso de nivel de servicio suele incluir plazos de revocación y notificación de accesos.
En industria farmacéutica y de dispositivos médicos el mismo asunto llega por la vía de los registros electrónicos: el sistema debe garantizar que el dato no se altere sin dejar constancia, lo que implica que ni el administrador pueda modificar un registro sin que la pista de auditoría lo muestre. En manufactura conectada, las cuentas de servicio de los sistemas de piso y de los equipos de medición suelen tener privilegios amplios, contraseñas de fábrica y ninguna revisión, y son la puerta que las evaluaciones de proveedor empezaron a mirar. La lógica es la misma en todos los casos: el privilegio se concede a una persona identificable, por una razón escrita, con un plazo y con un registro que esa persona no controla.
El acceso privilegiado casi nunca se rompe por una decisión equivocada: se rompe por acumulación. Cada urgencia deja un privilegio concedido de más, cada proveedor deja una cuenta abierta, cada proyecto deja una llave de integración, y como nada de eso falla mientras todo funciona, nadie lo revisa. El daño aparece el día del incidente o el día del cuestionario del cliente, y en ambos casos la pregunta es la misma: quién podía hacer esto y cómo lo demuestras. En la Ciudad de México, donde los proveedores de servicios financieros, las empresas de tecnología y los contratistas de gobierno responden a auditorías regulatorias y a evaluaciones de proveedor que piden exactamente esa evidencia, la lista sin dueño se vuelve un obstáculo comercial antes que un riesgo técnico. Ordenar el otorgamiento, la revisión y el registro es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde el control de acceso se trata como el control de los registros del sistema.
El acceso privilegiado es el que permite cambiar configuraciones, ver los datos de todos y alterar el rastro, y por eso se gestiona aparte del acceso común. La norma pide asignación restringida con autorización formal, cuentas nominativas separadas de la cuenta de uso diario, lista mantenida y revisada, revocación con plazo definido al cambiar o terminar la relación laboral, autenticación reforzada, custodia de credenciales, restricción de utilerías capaces de saltarse controles y registro de actividad protegido de quien lo genera. La ISO 9001 lo alcanza por la protección de la información documentada, por la competencia y por el control de proveedores externos. Las cuentas de servicio y las de los proveedores de soporte son las que más se olvidan y las que más pesan.
Sin compromisos. Sin presentaciones genéricas. Te escuchamos, entendemos tu empresa y te decimos honestamente qué necesitas y cómo podemos ayudarte.
Hablemos