Prácticas de usuarios privilegiados

CA ha anunciado los resultados de un estudio europeo que revela que las malas prácticas en la gestión de usuarios privilegiados representa una amenaza para la seguridad de las empresas europeas. El estudio titulado «Privileged User Management?It’s Time to Take Control», que ha sido elaborado por la firma Quocirca a instancias de CA, abarca 14 países: Alemania, Bélgica, Dinamarca, España, Finlandia, Francia, Holanda, Irlanda, Israel, Italia, Noruega, Portugal, Reino Unido y Suecia.

Los usuarios privilegiados suelen ser los administradores de la red o de TI responsables del mantenimiento y disponibilidad de los sistemas, o también los administradores de sistemas operativos, aplicaciones de negocios, seguridad y bases de datos. Por lo general, a estos se les conceden unos derechos de acceso dentro de la infraestructura TI de las empresas que son significativamente mayores que los derechos de la mayoría de usuarios de TI.

El estudio destaca que el 41% de los encuestados europeos (40% en España) que señalan haber implementado el estándar ISO27001 aún mantienen algunas prácticas no conformes con la normativa como el compartir cuentas de usuarios privilegiados; esto se suma a otra mala práctica como es el uso de los nombres de usuario y contraseñas por defecto para las cuentas privilegiadas. Si se consideran sólo aquellos que han implementado el estándar ISO27001 y tienen la certificación de un auditor externo, esta cifra continúa manteniéndose alta, con un 36%.

En los últimos años, se han dado muchos casos que ponen de relieve los peligros de subestimar y pasar por alto los riegos que pueden derivar de la falta de control sobre la actividad de los usuarios privilegiados. Cuando los administradores o usuarios privilegiados acumulan un exceso de privilegios o cuando comparten sus credenciales de acceso con otras personas, pueden causar grandes perjuicios, sea accidental o deliberadamente.

Además, hay muchos ejemplos de hackers cuyo objetivo son las cuentas privilegiadas para obtener acceso a las aplicaciones y datos más importantes del negocio. Algunos de estos casos incluyen desde el robo de datos que pueden venderse, como información sobre tarjetas de crédito, hasta fraudes más sofisticados o robo de propiedad intelectual.

A pesar de estos riesgos, la investigación revela que el control y la monitorización de la actividad de los usuarios privilegiados no ocupan un lugar destacado en la agenda de los responsables de TI. Los encuestados valoraron la gestión de usuarios privilegiados en octavo lugar entre las amenazas de seguridad con una puntuación de 2,5 sobre 5, por debajo de las amenazas del malware (2,9), Internet (2,7), usuarios internos (2,7) y herramientas web (2,6).

Además, existe un exceso de confianza en la capacidad de gestionar los usuarios privilegiados. Los encuestados también están relativamente seguros de poder pasar una auditoria de cumplimiento y se preocupan más de temas como pérdidas de datos o de la violación de la propiedad intelectual.
 

El estudio de CA

Según el estudio «Privileged User Management?It’s Time to Take Control», el 24% de las organizaciones europeas tienen dispuesta alguna forma de control manual para supervisar las acciones y controlar el acceso de los usuarios privilegiados. Sin embargo, confiar en los procesos manuales para el control y monitorización de los usuarios privilegiados consume mucho tiempo, es excesivamente costoso, no es fiable y es propenso a errores.

A pesar de la disponibilidad de sistemas más sofisticados y de su necesidad, sólo el 26% de las empresas europeas encuestadas ha implantado un sistema completo de gestión de usuarios privilegiados. Sin embargo, el alto número de organizaciones (48%) que dicen tener planes (aunque a menudo retrasados) sugiere que no se trata de una prioridad aunque figure en la agenda.

La disponibilidad de presupuesto, puntuada con 3,3 sobre 5 en la escala de factores restrictivos, puede explicar esta distorsión, aunque el 85% de los encuestados europeos manifiesta que la parte de presupuesto TI asignado a seguridad es estable o se incrementará. Al fin y al cabo, es probable que la razón principal para los retrasos en la inversión sea una infravaloración de los riesgos asociados a los usuarios privilegiados.