El juego del topo con los accesos nunca termina. Hay una razón para ello

Pienso mucho en el problema del juego del topo con los accesos. Nuevos empleados, nuevos proyectos, nuevos archivos, nuevos recursos compartidos, alguien rompe la herencia de una carpeta sin darse cuenta. Esa es la razón por la que nunca termina: lo nuevo llega más rápido de lo que nadie puede revisar lo que ya existe, así que la lista nunca se acorta por mucho que la limpies.

Este problema existe desde siempre, pero se ha agudizado. Antes, encontrar un archivo sobreexpuesto requería que alguien buscara manualmente, lo que significaba que la mayoría simplemente permanecía allí, sin ser descubierto, durante años. Copilot y agentes similares reducen toda esa búsqueda a una sola pregunta, respondida en segundos, para cualquiera que la haga. La IA no crea el riesgo, pero magnifica lo que ya existía.

Soy ingeniero de formación y me gusta observar cómo los equipos de software abordan problemas similares. Claude Mythos Preview se lanzó en abril y, en un mes, Anthropic y sus socios habían encontrado más de 10 000 vulnerabilidades de gravedad alta o crítica en software ampliamente utilizado. Los mantenedores no pueden corregir tanto. Parchear cada error a medida que aparece se parece mucho a intentar controlar cada cambio de permisos: nunca termina. Por eso los equipos inteligentes no intentan corregir todos los errores. En su lugar, rediseñan el código más riesgoso, el que no pueden mantener al día, sobre plataformas reforzadas y aisladas, de modo que un lote entero de vulnerabilidades deja de importar de una vez.

Creo que la misma idea se aplica a la gobernanza de accesos.

Mueva los datos, no se limite a protegerlos mejor

Un recurso compartido de archivos genérico es el peor lugar para los datos sensibles: los permisos se heredan de forma impredecible, rara vez tiene el etiquetado o DLP activado por defecto y el rastro de auditoría es escaso. Una limpieza omitida expone todo lo que hay detrás. Las revisiones de permisos más frecuentes son difíciles de escalar. La solución es sacar los datos sensibles de lo más difícil de gobernar.

Ciertas categorías de datos sensibles ya tienen un hogar mejor, normalmente un sistema que ya posee. Los registros financieros pertenecen a la plataforma financiera, no a una unidad compartida. Los datos de salud pertenecen al sistema clínico o de reclamaciones que su programa de cumplimiento ya gobierna. Nada de esto es una idea nueva, pero conviene tratarlo como la verdadera solución, porque saca los datos del montón que de otro modo tendría que volver a auditar para siempre.

Los datos personales generales, el material marcado por el RGPD y todo lo que quedó en un recurso compartido antiguo porque nadie le construyó un hogar adecuado son datos sin un sistema dedicado evidente. Para ellos, SharePoint es realmente una plataforma mejor, no solo más ordenada. Una etiqueta de confidencialidad viaja con el propio archivo, así que la protección no desaparece en cuanto alguien lo descarga o lo reenvía, algo que un recurso compartido plano no está diseñado para hacer de serie. Las etiquetas también pueden activar un acceso basado en la identidad: un sitio con material confidencial puede exigir MFA en el instante en que alguien intenta abrirlo, en lugar de confiar en quien tenga un inicio de sesión. Y Restricted Access Control permite limitar de inmediato la audiencia real de un sitio, anulando la dispersión de permisos acumulada con los años, en lugar de desenredar los permisos grupo por grupo. Esto último importa especialmente para Copilot y agentes similares: solo muestran lo que la persona que pregunta ya tiene permiso para alcanzar, así que reducir esa audiencia real reduce también lo que cualquier agente de IA puede encontrar. Netwrix 1Secure puede mostrarle hoy su exposición a Copilot.

La misma lógica se aplica al acceso permanente

El otro problema de permisos que no deja de acumularse es quién tiene acceso elevado que apenas usa. Revisar esa lista es el mismo juego del topo interminable que revisar cada permiso de archivo, pero con más en juego. Las cuentas de servicio privilegiadas siempre han sido un objetivo por su gran radio de impacto, pero las identidades de agentes de IA llevan esto a otro nivel por su capacidad de actuar de forma autónoma. La solución más duradera es la elevación just-in-time: conceder acceso para la tarea y dejar que caduque, en lugar de dejarlo disponible en reposo. Existen herramientas de acceso privilegiado precisamente para esto, y conviene tratarlas como infraestructura y no como una política que alguien tiene que acordarse de aplicar.

Dónde se vuelve urgente

La parte de datos no funciona si primero no sabe dónde están realmente sus datos sensibles, y ese es el paso que la mayoría de los equipos omite.

El acceso permanente se puede corregir hoy; no depende de nada. Pero no se puede rediseñar lo que no se ve en el lado de los datos. Si encuentra datos personales en un recurso compartido, esa es la señal para trasladarlos a un lugar diseñado para ellos, como SharePoint. Saber qué tiene y dónde está es el punto de partida para sacar los datos sensibles de las plataformas que no pueden protegerlos. Ahí es exactamente donde entra Netwrix 1Secure.