Acceso con privilegios mínimos

Principio de seguridad según el cual cada usuario —y cada agente de IA— recibe únicamente los permisos imprescindibles para hacer su tarea, y ninguno más. Reduce a la vez el riesgo de uso indebido deliberado y el radio de daño si la cuenta o el agente resultan comprometidos.

En el curso

Módulo 4 — es término del glosario y aparece como contramedida en la fase 7 de la Cadena de ataque cibernético ("acciones sobre los objetivos"), la fase en la que los atacantes del caso Lisa Mendez accedieron a las cuentas de inversionistas y desviaron más de 4,3 millones de dólares. Las medidas que el módulo asocia a esa fase son MFA y alertas de transacciones, segmentación del acceso a los sistemas financieros y, en el plano de la IA, agentes con privilegio mínimo, interfaces restringidas por rol y monitoreo continuo del comportamiento.

La función Proteger del NIST CSF lo formula con un matiz importante: el control de acceso consiste en limitar quién —o qué— puede acceder a datos y sistemas, porque un agente con acceso amplio puede filtrar o usar mal los datos sin intención alguna. La acción concreta que sugiere es aplicar MFA tanto a empleados como a servicios de IA con derechos de acceso, y preguntar a TI si las herramientas de IA tienen los mismos límites que los usuarios humanos.

Módulo 3 — lo traduce a arquitectura: cada servicio, heredado o microservicio de IA, debe autenticar y autorizar solicitudes con TLS mutuo y RBAC estricto, y registrar cada acción del agente. Entre las cuatro estrategias de despliegue seguro figura restringir las capacidades del agente para impedir acciones no autorizadas.

Módulo 5 — los controles de acceso basados en roles son una de las medidas técnicas para contener la IA en la sombra. En la comparación de arquitecturas, el modelo embebido introduce riesgo justamente por permisos mal configurados, al depender de departamentos con niveles desiguales de madurez en seguridad.

Relacionado

Sandboxing · NIST CSF · Cadena de ataque cibernético · Exfiltración · Gobernanza · IA en la sombra · Prevención de pérdida de datos (DLP)