Neutralidad en Seguridad, algo de lo que no hablamos mucho.

En mis charlas sobre "Ethical Hacking", me encanta hablar sobre “Neutralidad en Seguridad”. Me gusta ampliar el principio clásico de mínimo privilegio desde una perspectiva puramente técnica, hacia una dimensión de gobernanza, responsabilidad y protección del propio usuario.

El principio tradicional de mínimo privilegio (Principle of Least Privilege, PoLP) establece:

Una identidad (usuario, aplicación, proceso o servicio) debe recibir únicamente los privilegios estrictamente necesarios para ejecutar sus funciones autorizadas, durante el tiempo necesario y bajo las condiciones necesarias.

Sin embargo mi concepto agrega una capa adicional: un exceso de privilegios no solo incrementa el riesgo para la organización, sino que rompe la neutralidad del usuario frente a un incidente.

Para mi: Neutralidad en seguridad: es el principio mediante el cual los privilegios asignados a una identidad digital deben mantenerse alineados estrictamente con sus responsabilidades reales, evitando que permisos innecesarios conviertan a dicha identidad en un punto injustificado de exposición, sospecha o atribución dentro de un incidente de seguridad.

El punto central desde mi perspectiva, es que la neutralidad ocurre cuando, los Permisos concedidos = Responsabilidad funcional. Ni menos, ni más.

Desde el punto de vista de seguridad, un exceso de privilegios genera varios problemas:

1. Incrementa la superficie de ataque

Ejemplo en base de datos:

Un analista requiere: 

• SELECT sobre tablas de reportes, 
• pero recibe: SELECT ANY TABLE o peor aún "DBA".

El atacante hereda todo lo que la cuenta puede hacer, no solamente lo que el usuario normalmente hace.

2. Rompe la presunción operacional de inocencia.

Supongamos:

• Usuario A: necesita consultar clientes, tiene acceso solo lectura
• Usuario B: necesita consultar clientes, pero además tiene: borrar registros, exportar información, crear usuarios, modificar privilegios.

Si ocurre una fuga, desde un análisis forense el Usuario A: 

• ¿Tenía capacidad técnica? 
• Respuesta: NO, menor probabilidad como origen.

En el caso del Usuario B:

• ¿Tenía capacidad técnica? 
• Respuesta: SÍ, debe investigarse. Aunque Usuario B sea inocente, los privilegios excesivos lo colocaron dentro del perímetro de sospecha.

3. La asignación excesiva de permisos crea responsabilidad compartida

Una frase que resume bien el concepto:

"Todo privilegio innecesario es una responsabilidad innecesaria transferida al usuario."

Dar privilegios no es solamente dar capacidad, también es asignar: 

1. riesgo,
2. trazabilidad, 
3. obligación de custodia, 
4. exposición ante auditoría.

Ustedes que opinan.?