La gestión de acceso remoto privilegiado (RPAM) es la práctica de proteger, controlar y registrar las sesiones privilegiadas que los usuarios remotos, ya sean empleados o proveedores externos, abren hacia los sistemas críticos. En lugar de repartir una VPN permanente y un acceso amplio a la red, RPAM concede acceso a un sistema concreto, para una tarea concreta, durante un tiempo limitado, y registra lo que ocurre. Los analistas la han nombrado como una categoría propia porque el acceso remoto privilegiado se ha convertido en la vía de acceso a la que más recurren los atacantes.
¿Qué es RPAM?
RPAM responde a una pregunta concreta y de alto riesgo: cuando alguien se conecta desde fuera para realizar un trabajo privilegiado en un sistema crítico, ¿cómo te aseguras de que es la persona correcta, haciendo solo la tarea aprobada, en solo el sistema aprobado, con un registro que puedas revisar después? Combina en una sola vía controlada la verificación de identidad, la autorización justo a tiempo y con privilegios mínimos, la intermediación de la sesión y su grabación. La idea es eliminar el acceso permanente y sustituirlo por un acceso que se concede bajo demanda y se revoca cuando la tarea termina.
¿En qué se diferencia RPAM de PAM?
La gestión de acceso privilegiado tradicional creció dentro de la empresa, centrada en custodiar credenciales, rotar contraseñas y gestionar cuentas privilegiadas. RPAM reduce el foco a la dimensión remota: la propia sesión. Da por hecho que el usuario está fuera del perímetro, a menudo en un dispositivo no gestionado, y a veces es un contratista externo al que no controlas. Por eso pone el acento en intermediar la conexión, ligarla a una identidad verificada, acotarla a un único destino y registrarla, en lugar de limitarse a gestionar el secreto que hay detrás de la cuenta.
¿En qué se diferencia RPAM de una VPN?
Una VPN coloca al usuario remoto dentro de la red. Una vez conectado, y si la red es plana, puede alcanzar mucho más que el único sistema al que venía a trabajar. RPAM invierte eso: el usuario se conecta a un intermediario, no a la red, y se le concede una vía hacia exactamente un sistema para exactamente una tarea. Nada más en la red es alcanzable. Esa diferencia es la razón por la que el acceso mediante VPN plana a los sistemas privilegiados se considera hoy un riesgo en lugar de un control.
¿Por qué importa RPAM para la OT?
En la tecnología operativa, el acceso más privilegiado y más expuesto suele ser el mantenimiento remoto de los proveedores. Integradores y fabricantes (OEM) se conectan para dar servicio a PLC, variadores y sistemas SCADA que no pueden autenticar a un usuario ni registrar una sesión por sí mismos. Eso convierte el acceso remoto de terceros en la vía de brecha clásica de la OT. Aplicar RPAM a la OT significa colocar un intermediario delante de esos sistemas para que cada sesión remota, incluida la de un proveedor, esté ligada a la identidad, tenga privilegios mínimos, esté acotada en el tiempo y quede registrada, sin instalar nada en el equipo.
¿Qué debe hacer una solución RPAM?
Las capacidades esenciales son coherentes entre proveedores:
- Verificar la identidad contra tu proveedor de identidad, con autenticación multifactor, o actuar como ancla de identidad cuando no exista una.
- Conceder acceso justo a tiempo y con privilegios mínimos a un único sistema de destino para una única tarea, y luego revocarlo.
- Intermediar la sesión para que el usuario nunca toque la red directamente.
- Registrar cada sesión de principio a fin, para que un incidente sea una consulta en lugar de un proyecto forense.
- Funcionar con sistemas heredados que no pueden alojar un agente ni autenticarse por sí mismos.
Access Gate de Trout ofrece RPAM para entornos industriales: se sitúa delante de los activos OT e intermedia un acceso remoto ligado a la identidad, con privilegios mínimos y registrado, especialmente para proveedores externos, sin modificar los controladores. Consulta acceso remoto y de proveedores seguro para OT.
