Una firma de servicios profesionales otorgó a su socio de implementación de Microsoft 365 acceso de administrador delegado a su inquilino de Microsoft 365 durante el proyecto de implementación, un acuerdo estándar que permitía al socio configurar Exchange, SharePoint, Teams y los ajustes de Azure AD en nombre de la firma. La implementación concluyó con éxito al cabo de cuatro meses. La relación de administración delegada no se revisó ni se modificó formalmente al concluir el proyecto. Ocho meses después, durante una revisión de Microsoft Secure Score, un analista de seguridad notó que la relación de administración delegada seguía activa. El socio era un MSP global con más de trescientos miembros de personal dedicados a Microsoft en todo el mundo. La relación de administración delegada otorgaba acceso de administración al inquilino de la firma a cualquier miembro del personal de la organización socia que el MSP designara: una población de varias decenas de personas que podían administrar el entorno de Microsoft 365 de la firma con privilegios de administrador global. Las políticas de acceso condicional de la propia firma no se aplicaban a las sesiones de administración delegada. La firma no podía ver la lista del personal del socio, sus políticas de MFA ni su acceso a la capacidad de administración delegada. En su centro de administración podían ver que la relación de administración delegada estaba activa. No podían ver quién de la organización socia la usaba ni con qué seguridad se autenticaban esas personas.
¿Qué son realmente los riesgos de la administración delegada?
La administración delegada es una función de las plataformas en la nube que permite que una organización (un socio o proveedor de servicios gestionados) administre el entorno en la nube de otra organización en su nombre: el personal del socio puede acceder al inquilino del cliente con privilegios de administración usando sus propias credenciales organizativas, sin que se creen cuentas en el directorio del propio cliente. Los modelos Cloud Solution Provider y Delegated Administration Privilege de Microsoft, el acceso de revendedor de Google Workspace y construcciones similares en las principales plataformas en la nube implementan este mecanismo para los servicios gestionados por socios.
La asimetría de gobernanza es el riesgo fundamental. Cuando un cliente otorga a un socio acceso de administración delegada, el personal del socio que ejerce ese acceso se autentica conforme a las políticas de seguridad del socio: los requisitos de MFA del socio, sus políticas de acceso condicional y su gestión del ciclo de vida de las credenciales. Las políticas de seguridad del propio cliente no se aplican a las sesiones de administración delegada. Si el cliente exige MFA resistente al phishing para todo acceso de administración y el socio usa MFA con notificaciones push, el acceso de administración delegada cumple el estándar del socio y no el del cliente. El cliente otorgó acceso de administración a una población que no puede gobernar directamente.
El problema de la opacidad del alcance y de la población con acceso añade una segunda dimensión. En la mayoría de las implementaciones de administración delegada, el cliente no puede ver qué personas concretas de la organización socia han sido designadas para el acceso de administración delegada, no puede revisar la postura de seguridad de esas personas y no puede imponer controles de acceso individuales en la relación de administración delegada. El cliente ve a la organización socia como la entidad que accede, no a las personas concretas que ejercen el acceso. El socio designa internamente qué miembros de su personal pueden ejercer la administración delegada y los gestiona según sus propias políticas de seguridad, y el cliente no tiene visibilidad directa ni control sobre esa población.
- Administración delegada que persiste más allá de la necesidad operativa: relaciones otorgadas para proyectos que siguen activas después de concluido el proyecto
- La política de seguridad del socio rige las sesiones de administración delegada: la MFA y el acceso condicional del cliente no se aplican a las sesiones administradas por el socio
- Opacidad sobre el personal del socio: el cliente no puede identificar a las personas concretas con acceso de administración delegada
- Sin aplicación de la MFA del cliente en la administración delegada: los estándares de autenticación los rige el socio, no el cliente
- Administración delegada de alcance amplio: se otorga administrador global o un permiso amplio equivalente cuando bastaría un alcance más limitado
Por qué es importante
Los riesgos de la administración delegada son importantes para TPRM porque las relaciones de administración delegada representan una de las concesiones de acceso de mayor privilegio que una organización puede dar a un proveedor: acceso administrativo a todo un inquilino en la nube, regido por las políticas de seguridad del proveedor y no por las del cliente. La combinación de privilegios elevados, elusión de la gobernanza y opacidad sobre la población con acceso hace de las relaciones de administración delegada un tipo de acceso de proveedores de riesgo excepcionalmente alto, que requiere una evaluación específica más allá de la revisión estándar de IAM del proveedor.
El escenario de explotación a través del proveedor de nube es concreto y está bien documentado. La violación de seguridad de Microsoft atribuida a Storm-0558 en 2023 incluyó el abuso de relaciones de administración delegada: actores de amenazas que habían comprometido entornos de MSP usaron el acceso de administración delegada para llegar a los inquilinos de clientes de MSP. El ataque demostró exactamente el riesgo que aborda la gobernanza de la administración delegada: el acceso del atacante al entorno del MSP se tradujo directamente en acceso a los inquilinos de los clientes a través de la relación de confianza de la administración delegada.
Dónde se equivocan la mayoría de los equipos
La falla más constante es otorgar administración delegada para proyectos específicos y nunca revisar si debe mantenerse una vez concluido el proyecto. La administración delegada es sencilla de otorgar durante la incorporación y fácil de olvidar: el acceso está en el centro de administración de la plataforma en la nube, no en el directorio de identidades del propio cliente, y no aparece en los flujos estándar de revisión de accesos, que se centran en las cuentas propias del cliente.
- Sin revisión de la administración delegada al concluir el proyecto
- La administración delegada no está en el alcance estándar de la revisión de accesos
- Postura de seguridad del socio para la administración delegada sin evaluar
- Alcance no reducido después de la concesión amplia inicial
- Sin requisito de MFA del cliente para las sesiones de administración delegada
Cómo se ve una buena práctica
Los programas maduros de gobernanza de la administración delegada revisan las relaciones de administración delegada a intervalos definidos, exigen una justificación para mantener el acceso una vez concluidos los proyectos, evalúan las políticas de seguridad del socio para el acceso de administración delegada y limitan las concesiones de administración delegada al nivel mínimo de permisos que requiere la necesidad operativa.
- Administración delegada con límite de tiempo para proyectos: relaciones otorgadas con una duración definida y revisadas al concluir el proyecto
- Administración delegada de alcance limitado: se otorga el rol de mínimo privilegio en lugar de administrador global
- Evaluación de la postura de seguridad del socio: se evalúan la MFA y los controles de acceso aplicados a las sesiones de administración delegada
- Auditoría periódica de las relaciones de administración delegada: revisión de todas las relaciones de administración delegada activas frente a la necesidad operativa actual
- Granular Delegated Admin Privileges: uso de GDAP en el modelo de Microsoft en lugar de DAP para un acceso más limitado y con límite de tiempo
Herramientas
Microsoft GDAP: Granular Delegated Admin Privileges
El modelo Granular Delegated Admin Privileges de Microsoft reemplaza los Delegated Admin Privileges (DAP) heredados por un acceso específico por rol y limitado en el tiempo, que permite a los socios solicitar roles de administración específicos de Microsoft 365 durante períodos definidos en lugar de recibir acceso de administrador global de forma indefinida. GDAP requiere la aprobación explícita del cliente para cada rol solicitado y cada período de renovación. Para los profesionales de TPRM, preguntar si el acceso de los socios de Microsoft usa GDAP en lugar del DAP heredado es una pregunta concreta de gobernanza de la administración delegada.
Revisión de accesos al inquilino en la nube: Centro de administración de Microsoft 365, Google Workspace Admin
Los centros de administración de las plataformas en la nube ofrecen visibilidad sobre las relaciones de administración delegada activas, ya que enumeran las organizaciones socias con acceso delegado y los permisos que tienen. Revisar con regularidad la sección de acceso de socios del centro de administración revela relaciones de administración delegada que persisten de proyectos ya concluidos. Para los profesionales de TPRM, preguntar cuándo revisó por última vez la organización cliente las relaciones de administración delegada activas en sus centros de administración en la nube es una pregunta sobre la vigencia de la gobernanza.
Desafíos de gobernanza
El desafío de gobernanza de la administración delegada es la brecha de visibilidad y la inercia operativa. La brecha de visibilidad: las relaciones de administración delegada no aparecen en los flujos estándar de gobernanza de identidades porque no son cuentas del directorio del cliente. La inercia operativa: retirar el acceso de administración delegada a un socio que sigue prestando soporte continuo, aunque la justificación original específica del proyecto haya vencido, genera fricción, lo que inclina la balanza hacia dejar el acceso como está.
- Agregue la administración delegada al alcance estándar de la revisión de accesos: la revisión del centro de administración en la nube se incluye en la gobernanza periódica de accesos
- Exija GDAP en lugar de DAP para todas las nuevas relaciones con socios de Microsoft
- Revise la administración delegada al concluir el proyecto: un paso de revisión explícito en el cierre del proyecto
- Evalúe las políticas de MFA y de acceso del socio para las sesiones de administración delegada
- Limite la administración delegada al privilegio mínimo necesario
Si usted forma parte de un equipo pequeño
Abra su centro de administración de Microsoft 365 y vaya a la sección de relaciones con socios. Revise cada relación de administración delegada activa y pregúntese en cada caso: ¿esta relación responde a una necesidad operativa activa actualmente y, de ser así, cuál es esa necesidad, o es una relación que se otorgó para un proyecto que ya concluyó? Para cualquier relación que no pueda asociarse a una necesidad operativa activa, inicie su eliminación. Esa revisión de quince minutos revelará las relaciones de administración delegada que han persistido más allá de su justificación operativa.
- Revise de inmediato las relaciones de administración delegada activas en los centros de administración en la nube
- Exija una justificación para cualquier relación que no esté asociada a una necesidad operativa activa
- Migre las relaciones con socios de Microsoft de DAP a GDAP
- Agregue la revisión de la administración delegada al ciclo periódico de gobernanza de accesos
Qué exigir
Pregunte directamente:
“Para cualquier acceso de administración delegada que tengan a nuestro entorno en la nube, ¿pueden describir la necesidad operativa específica a la que responde? Y si el acceso se otorgó para un proyecto inicial de configuración o implementación que ya concluyó, ¿por qué la relación sigue activa?”
“¿Qué controles de seguridad se aplican a su personal cuando accede a nuestro entorno mediante administración delegada? En concreto, ¿qué estándar de MFA y qué políticas de acceso condicional rigen esas sesiones de su lado?”
Evidencia que debe esperar
- Justificación operativa actual de cada relación de administración delegada
- Política de MFA del personal del socio para las sesiones de administración delegada
- Especificación de roles de GDAP si se trata de una relación con un socio de Microsoft
- Periodicidad de la revisión de la administración delegada
A un proveedor que confirma acceso de administración delegada para servicios gestionados se le debe pedir que describa los roles específicos y el alcance de ese acceso, y si podría limitarse al mínimo necesario para la necesidad operativa en lugar de mantenerse en el nivel de administrador global. La relación de administración delegada da a la organización socia acceso administrativo al inquilino en la nube del cliente. Entender quién dentro de la organización socia ejerce ese acceso y con qué estándares de autenticación es la pregunta de gobernanza que la propia concesión de acceso no responde.
Cómo demostrarlo
- Inventario de relaciones de administración delegada con su justificación operativa
- Registros de evaluación de las políticas de MFA y de acceso del socio
- Estado de la migración a GDAP de las relaciones con socios de Microsoft
- Registros de la revisión periódica de la administración delegada
Conclusión clave
La administración delegada da a una organización socia acceso administrativo a su inquilino en la nube conforme a las políticas de seguridad de esa organización, no a las suyas. Su MFA, su acceso condicional, su ciclo de vida de credenciales: esos son los controles que rigen las sesiones de administración en su entorno cuando el socio está al teclado. Usted otorgó acceso de administración a una organización que no gestiona, regida por políticas que usted no define. El proyecto de configuración terminó hace ocho meses. La relación sigue activa. Treinta y siete miembros del servicio de asistencia del socio pueden administrar su inquilino. Usted no puede ver quiénes son esos treinta y siete. No puede ver su política de MFA. No puede ver la higiene de sus credenciales. Revise las relaciones de administración delegada en su centro de administración. Elimine las que no tengan una justificación operativa actual. Limite las que queden al privilegio mínimo necesario. GDAP en lugar de DAP. Acceso limitado en el tiempo en lugar de indefinido. El acceso que otorgó a la organización de otro merece una gobernanza a la altura del riesgo.