IAM y PAM: qué diferencias hay y qué problemas resuelve cada uno

La gestión de identidades y accesos (IAM) y la gestión de accesos privilegiados (PAM) controlan quién entra a los sistemas de una empresa y qué puede hacer dentro de ellos. IAM gobierna el acceso cotidiano de empleados, contratistas y aplicaciones; PAM protege las cuentas con capacidad de cambiar configuraciones, crear usuarios, leer bases de datos completas o detener servicios. Para un gerente de ciberseguridad o de sistemas, distinguirlas define qué riesgo atiende cada inversión y qué evidencias puede exigir a su equipo o a un proveedor.

Ambas disciplinas comparten un principio: cada persona y cada sistema deberían tener solo los permisos que necesitan, durante el tiempo que los necesitan, con un registro que permita comprobarlo. La diferencia está en el tipo de cuenta, el nivel de control y las consecuencias de un error.

IAM organiza el ciclo de vida de todas las identidades

IAM cubre el recorrido completo de una identidad: alta cuando alguien ingresa, cambios de permisos cuando cambia de puesto, revisiones periódicas y baja cuando se retira. Incluye la autenticación (cómo se comprueba quién es la persona, idealmente con un segundo factor), la autorización (qué recursos puede usar) y la federación con aplicaciones en la nube mediante inicio de sesión único.

El catálogo de controles NIST SP 800-53 Rev. 5 describe estas prácticas en sus familias de control de acceso (AC) e identificación y autenticación (IA). El control de gestión de cuentas (AC-2) pide definir tipos de cuenta, responsables, condiciones de uso y revisiones; el de mínimo privilegio (AC-6) exige limitar los permisos a lo necesario para cada función.

Los problemas que IAM resuelve aparecen en empresas de todos los tamaños: cuentas de exempleados que siguen activas, permisos que se acumulan con cada cambio de puesto, contraseñas compartidas entre áreas y aplicaciones que nadie sabe quién autorizó. Un buen programa de IAM conecta el sistema de recursos humanos con el directorio de identidades, de modo que un alta o una baja se refleje en los accesos sin depender de un correo.

PAM protege las cuentas que pueden cambiarlo todo

Las cuentas privilegiadas incluyen administradores de dominio, cuentas raíz en la nube, accesos de soporte de proveedores, cuentas de servicio con permisos amplios y credenciales incrustadas en scripts. Un atacante que obtiene una de ellas puede desactivar defensas, copiar información o cifrar sistemas completos, por eso requieren controles adicionales.

PAM agrega esos controles: guarda las credenciales en una bóveda, las rota automáticamente, entrega acceso temporal solo cuando se aprueba una tarea, graba o registra las sesiones y separa la cuenta de uso diario de la cuenta administrativa. NIST SP 800-53 respalda estas prácticas con controles como el uso de cuentas privilegiadas solo para funciones privilegiadas y el registro de su actividad.

El caso de los proveedores merece atención especial. Un integrador que da soporte remoto necesita acceso administrativo de forma ocasional; con PAM ese acceso se concede por una ventana definida, queda registrado y se revoca al terminar la tarea.

Cinco diferencias para decidir qué atender primero

• Población: IAM cubre a todas las identidades; PAM, al grupo reducido de cuentas con privilegios elevados.
• Riesgo principal: IAM reduce accesos excesivos o huérfanos; PAM limita el daño de una credencial administrativa comprometida.
• Controles típicos: IAM usa ciclo de vida, autenticación multifactor e inicio de sesión único; PAM añade bóveda, rotación, acceso temporal y grabación de sesiones.
• Evidencia: IAM se demuestra con revisiones de acceso y bajas oportunas; PAM, con registros de quién usó cada credencial privilegiada, cuándo y para qué.
• Dependencia: PAM funciona mejor sobre un inventario de identidades ordenado, que es resultado de IAM.

Un inventario de cuentas es el primer paso

El inventario responde qué cuentas existen, a quién pertenecen y cuáles tienen privilegios elevados. Ese inventario suele revelar cuentas sin dueño, cuentas genéricas y permisos que nadie recuerda haber concedido. Con esa base, conviene priorizar tres acciones de alto impacto: autenticación multifactor para accesos remotos y administrativos, eliminación de cuentas huérfanas y separación entre cuentas de uso diario y administrativas.

La siguiente etapa es instaurar revisiones periódicas de acceso con responsables de negocio, porque el área de TI conoce los permisos y el jefe de cada área sabe si siguen siendo necesarios. Después llega la incorporación gradual de cuentas privilegiadas a una herramienta de PAM, empezando por las de mayor impacto: dominio, nube y sistemas financieros.

Qué pedir a un proveedor o integrador

Al evaluar una solución o un servicio, conviene solicitar que el proveedor explique cómo resuelve cada punto con evidencia concreta: integración con el directorio y con recursos humanos, cobertura de aplicaciones en la nube y locales, manejo de cuentas de servicio, flujo de aprobación para accesos temporales, retención de registros e informes para auditoría. Una demostración con las aplicaciones reales de la empresa aporta más información que una presentación general.

IAM y PAM se complementan: el primero ordena quién tiene acceso, y el segundo vigila el acceso que más daño puede causar. Un gerente que los presenta así ante la dirección puede justificar cada fase con un riesgo concreto y medir el avance con evidencias verificables.