Una guía de referencia sobre los conceptos, protocolos y tecnologías clave de ciberseguridad relacionados con la gestión de contraseñas, los accesos privilegiados y la postura de seguridad de las empresas.
Seguridad de acceso
La seguridad de acceso es el conjunto de medidas técnicas y organizativas que protegen el acceso a los recursos de un sistema de información. Incluye la autenticación fuerte, el control de acceso basado en roles (RBAC), el principio de mínimo privilegio, la grabación de sesiones y la gestión de accesos privilegiados (PAM). Una buena seguridad de acceso protege frente a accesos no autorizados, compromisos de cuentas y movimientos laterales dentro de la red.
AES-256
AES-256 (Advanced Encryption Standard, 256 bits) es un algoritmo de cifrado simétrico utilizado en todo el mundo para proteger datos clasificados y sensibles. Se considera irrompible con la tecnología de cálculo actual. AES-256 es el estándar de cifrado que utilizan gobiernos, entidades financieras y organizaciones preocupadas por la seguridad para cifrar los datos en reposo y en tránsito. Heimlane Vault utiliza AES-256-CBC con HMAC-SHA256 para cifrar todo el contenido de la bóveda en el lado del cliente, antes de que llegue al servidor.
Argon2id
Argon2id es una función moderna de derivación de claves (KDF) diseñada para resistir los ataques de fuerza bruta exigiendo una cantidad considerable de memoria y de tiempo de procesamiento. Ganó el Password Hashing Competition en 2015 y OWASP lo recomienda para el hash de contraseñas. A diferencia de algoritmos más antiguos como PBKDF2, Argon2id resiste los ataques con GPU y ASIC gracias a su diseño de uso intensivo de memoria. Heimlane Vault admite Argon2id como KDF recomendada para derivar las claves maestras a partir de las contraseñas de los usuarios.
Registro de auditoría
Un registro de auditoría (audit trail) es el historial cronológico de quién hizo qué, cuándo y desde dónde, conservado de forma que pueda presentarse como prueba. En los accesos privilegiados se compone de eventos estructurados (autenticación, sesión abierta, destino alcanzado, credencial utilizada, archivo transferido, sesión cerrada) en lugar de vídeo, lo que permite buscar en él, exportarlo a un SIEM y usarlo en informes de cumplimiento. Su valor depende de su integridad: los registros deben escribirse en un lugar donde la persona registrada no pueda alterarlos, y conservarse el tiempo suficiente para cubrir el retraso de detección de un incidente real, que se mide en meses. La grabación de sesiones muestra lo que ocurrió en pantalla; el registro de auditoría es lo que se consulta.
Bastión
Un bastión (también llamado bastion host o servidor de salto) es un punto de entrada reforzado que actúa como pasarela única y controlada para que administradores y proveedores externos accedan a los servidores y aplicaciones de una organización. Todas las conexiones privilegiadas pasan por el bastión, que autentica a los usuarios, aplica las políticas de acceso, graba las sesiones y ofrece un registro de auditoría completo. En Francia, “bastión” se usa ampliamente como sinónimo de soluciones PAM (Privileged Access Management). Heimlane Realm funciona como bastión: ofrece acceso desde el navegador a destinos RDP, SSH y VNC, con grabación completa de sesiones e inyección de credenciales. Para saber más: qué es un bastion host, para qué sirve y cómo desplegarlo.
Monitorización de filtraciones
La monitorización de filtraciones comprueba si una dirección de correo, un dominio o una contraseña aparecen en filtraciones de datos conocidas y en volcados de credenciales que circulan públicamente o en mercados criminales. Funciona comparando tus identificadores con corpus agregados de filtraciones, como Have I Been Pwned, normalmente con k-anonimato para que el servicio nunca llegue a conocer la contraseña completa que se comprueba. Una coincidencia no significa que tu bóveda esté comprometida; significa que una credencial que usas en algún sitio es pública y debe cambiarse. Heimlane Vault incluye comprobaciones manuales de filtraciones en el plan gratuito y comprobaciones automáticas y masivas en los planes de pago, de modo que las credenciales expuestas salgan a la luz antes de que alguien se ponga a usarlas.
Cuenta break-glass
Una cuenta break-glass, también llamada cuenta administrativa de emergencia, es una cuenta con privilegios muy altos que se guarda en reserva para el día en que fallen las vías de acceso normales: el proveedor de identidad está caído, el MFA no está disponible o la propia solución PAM es inaccesible. Existe precisamente porque centralizar los accesos crea un punto único de fallo. La buena práctica es tener muy pocas, sellar las credenciales fuera de línea o en una bóveda aparte, prohibir su uso rutinario, generar una alerta ante cualquier autenticación y documentar un procedimiento para utilizarlas y rotarlas después. Un procedimiento break-glass que nunca se ha ensayado no es un procedimiento.
CLOUD Act
La CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) es una ley federal de Estados Unidos que permite a las autoridades estadounidenses obligar a los proveedores de servicios con sede en EE. UU. a entregar los datos que controlan, con independencia del país en el que estén almacenados. El centro de datos europeo de una empresa estadounidense no queda, por tanto, fuera de su alcance, y tampoco la filial europea de una matriz estadounidense. Es el fundamento jurídico de la mayoría de las preocupaciones sobre soberanía digital en Europa, y la razón por la que “alojado en la UE” no es una respuesta suficiente por sí sola: lo que importa es quién controla al operador y si los datos están cifrados de tal modo que el operador no pueda entregar el texto en claro en ningún caso.
Inyección de credenciales
La inyección de credenciales es el proceso de insertar automáticamente credenciales almacenadas (usuario, contraseña) en una sesión de inicio de sesión sin revelárselas al usuario. El usuario se conecta a un sistema de destino a través de una solución PAM, que recupera las credenciales de la bóveda de contraseñas y las inyecta de forma transparente. Esto elimina las contraseñas compartidas, evita el robo de credenciales mediante keyloggers y genera un registro de auditoría completo de quién accedió a qué, cuándo y con qué cuenta. Heimlane Realm recupera las credenciales de Vault y las inyecta en sesiones RDP, SSH, VNC y web.
Credential stuffing
El credential stuffing es la repetición automatizada de pares de usuario y contraseña robados en un servicio contra muchos otros, apostando por la reutilización de contraseñas. No es adivinar: las credenciales ya son válidas en algún sitio, por eso basta una tasa de éxito de una fracción de punto porcentual para que sea rentable a gran escala, y por eso el tráfico es difícil de distinguir de los inicios de sesión fallidos normales. Las contramedidas son una contraseña única para cada servicio, lo que en la práctica significa un gestor de contraseñas, combinada con MFA y monitorización de filtraciones para que una credencial filtrada se cambie antes de que nadie la pruebe en otro sitio.
CSPN
CSPN (Certification de Sécurité de Premier Niveau) es una certificación de seguridad francesa emitida por la ANSSI. Valida que un producto cumple un conjunto definido de requisitos de seguridad, verificados por un laboratorio de evaluación acreditado. La CSPN es más ligera y rápida de obtener que una certificación Common Criteria (CC), y está ampliamente reconocida en la contratación pública francesa y en los sectores regulados.
Ciberseguro
Un ciberseguro es un contrato de seguro que cubre las pérdidas financieras y las responsabilidades derivadas de un incidente de ciberseguridad (ransomware, robo de datos, interrupción de la actividad). Las aseguradoras exigen cada vez más que existan controles de seguridad verificables, como la gestión de accesos privilegiados, la grabación de sesiones, la autenticación fuerte y las políticas de contraseñas, antes de conceder la cobertura o reducir las primas.
Cyber Resilience Act (CRA)
El Cyber Resilience Act es un reglamento de la UE, en vigor desde diciembre de 2024, que establece requisitos de ciberseguridad para los productos con elementos digitales comercializados en el mercado europeo: hardware, software y sus soluciones de tratamiento de datos a distancia. Exige una configuración segura por defecto, la gestión de vulnerabilidades con divulgación coordinada y actualizaciones de seguridad durante un periodo de soporte definido, acreditado mediante el marcado CE. Sus principales obligaciones se aplican a partir de diciembre de 2027, con obligaciones de notificación de vulnerabilidades e incidentes desde septiembre de 2026. Mientras que NIS2 regula cómo deben operar las organizaciones, el CRA regula lo que los fabricantes pueden vender.
Soberanía digital
La soberanía digital es la capacidad de una organización o de un país para controlar su propia infraestructura digital, sus datos y sus decisiones tecnológicas sin depender de proveedores o jurisdicciones extranjeras. En ciberseguridad, la soberanía digital significa alojar los datos en la UE, utilizar soluciones desarrolladas en Europa y garantizar que ningún gobierno extranjero pueda obligar a acceder a los datos de los clientes mediante leyes extraterritoriales como la CLOUD Act estadounidense.
DORA
DORA (Digital Operational Resilience Act) es un reglamento de la UE aplicable desde el 17 de enero de 2025 que armoniza los requisitos de resiliencia operativa en el sector financiero: bancos, aseguradoras, empresas de inversión, entidades de pago, proveedores de servicios de criptoactivos y sus proveedores TIC críticos. Abarca la gestión del riesgo TIC, la notificación de incidentes, las pruebas de resiliencia y, en particular, el riesgo de terceros: las entidades financieras deben mantener un registro de sus proveedores TIC e imponerles requisitos contractuales de seguridad. Sus expectativas en materia de control de acceso coinciden en gran medida con NIS2 y con lo que ya aporta la gestión de accesos privilegiados: autenticación fuerte, mínimo privilegio y registros auditables de la actividad administrativa.
Acceso de emergencia (legado digital)
El acceso de emergencia permite a un usuario designar a un contacto de confianza que puede solicitar acceso a su bóveda en caso de fallecimiento, incapacidad o pérdida de credenciales. La solicitud abre un periodo de espera durante el cual el titular puede rechazarla; si el plazo vence sin rechazo, se concede el acceso. Bien hecho, el mecanismo es criptográfico y no administrativo: la clave de la bóveda se envuelve de antemano con la clave del contacto de confianza, de modo que el proveedor sigue sin poder abrir la bóveda por sí mismo y se preserva el zero-knowledge. Esto responde a la pregunta más difícil del diseño zero-knowledge: qué ocurre cuando la única persona que puede descifrar los datos ya no está. Heimlane Vault ofrece acceso de emergencia mediante un contacto de confianza designado y un periodo de espera.
Cifrado de extremo a extremo
El cifrado de extremo a extremo (E2EE) significa que los datos se cifran en el dispositivo del remitente y solo pueden descifrarse en el dispositivo del destinatario. Ningún intermediario, incluido el proveedor del servicio, puede acceder al contenido en texto claro. Es la base de las arquitecturas zero-knowledge, en las que el proveedor nunca tiene acceso a los datos de los clientes, aunque sus servidores sean vulnerados.
FIDO2 / WebAuthn
FIDO2 es un estándar abierto de autenticación de la FIDO Alliance, y WebAuthn es la API del navegador que lo implementa. En lugar de un secreto compartido, el autenticador (una llave de hardware como una YubiKey, o un autenticador de plataforma como Windows Hello o Touch ID) guarda una clave privada y firma un desafío enviado por el sitio. La firma está vinculada al origen del sitio, de modo que un dominio fraudulento no obtiene nada reutilizable. Eso es lo que hace que FIDO2 sea resistente al phishing por construcción, a diferencia de TOTP o de los códigos por SMS, que se puede convencer a un usuario de retransmitir a un atacante en tiempo real. Heimlane Vault admite llaves de seguridad de hardware FIDO2 / WebAuthn como segundo factor en los planes de pago.
Principio de los cuatro ojos
El principio de los cuatro ojos exige dos personas para una acción sensible: una la realiza y otra la aprueba. Aplicado a los accesos privilegiados, significa que una sesión en un sistema crítico no puede comenzar hasta que una segunda persona autorizada valida la solicitud y, en las variantes más estrictas, un supervisor observa la sesión en directo y puede terminarla. Es el control habitual allí donde un solo administrador tendría, de otro modo, un poder sin supervisión sobre sistemas de producción o datos financieros, por lo que aparece en la regulación bancaria e industrial. También se conoce como doble control o doble autorización.
RGPD
El Reglamento General de Protección de Datos (RGPD) es el reglamento de la Unión Europea que regula la recogida, el tratamiento y el almacenamiento de datos personales. Exige a las organizaciones aplicar medidas técnicas y organizativas adecuadas para proteger los datos personales, incluidos el cifrado, los controles de acceso y la capacidad de demostrar el cumplimiento. El RGPD se aplica a cualquier organización que trate datos de residentes en la UE, con independencia de dónde esté establecida.
HSM
Un HSM (hardware security module, módulo de seguridad de hardware) es un dispositivo resistente a la manipulación que genera y almacena claves criptográficas y realiza operaciones con ellas sin que la clave salga nunca del hardware de forma utilizable. Las aplicaciones piden al HSM que firme o descifre en lugar de tomar prestada la clave. Los HSM están certificados según estándares como FIPS 140-3 y Common Criteria, y son obligatorios en el procesamiento de pagos, las autoridades de certificación y la firma electrónica cualificada. Los proveedores de nube los ofrecen como servicio gestionado, normalmente como un servicio de gestión de claves respaldado por HSM. Protegen las claves que protegen todo lo demás, por eso están en la raíz de la mayoría de las jerarquías de claves serias.
Proveedor de identidad (IdP)
Un proveedor de identidad es el sistema que autentica a los usuarios y asegura su identidad ante las aplicaciones, que confían en él en lugar de guardar contraseñas propias. Microsoft Entra ID, Okta, Google Workspace y Keycloak son ejemplos habituales. Las aplicaciones se integran mediante SAML 2.0 u OpenID Connect, y la misma integración suele transportar la pertenencia a grupos, que a su vez determina la autorización. Centralizar la autenticación es lo que hace posibles el SSO, una política de MFA coherente y la baja inmediata de usuarios; también concentra el riesgo, ya que un atacante que controla el proveedor de identidad controla todo lo que depende de él. Por eso las cuentas administrativas del propio proveedor de identidad son lo primero que debería cubrir un programa de accesos privilegiados.
ISO 27001
ISO/IEC 27001 es el estándar internacional para los sistemas de gestión de la seguridad de la información (SGSI). En lugar de prescribir una lista fija de controles, exige a la organización identificar sus riesgos, seleccionar controles proporcionados del Anexo A y demostrar que todo el sistema se mide y mejora con el tiempo. La certificación la concede un organismo acreditado tras una auditoría, y dura tres años con auditorías de seguimiento anuales. Es la certificación que más se exige en la contratación empresarial y en los cuestionarios a proveedores. Varios controles del Anexo A, en particular los derechos de acceso privilegiado, la información secreta de autenticación y el registro y la monitorización, se corresponden directamente con lo que aportan una bóveda de contraseñas y una solución PAM.
Acceso just-in-time (JIT)
El acceso just-in-time concede un privilegio solo cuando se necesita, durante el tiempo que se necesita, y lo retira automáticamente después, en lugar de mantener cuentas con derechos administrativos permanentes. Se solicita y se aprueba (o se concede automáticamente según una política), se crea el permiso, se hace el trabajo y el permiso caduca. El objetivo es reducir la ventana en la que una cuenta comprometida tiene algún valor: los privilegios permanentes son lo que hereda un atacante, y los derechos administrativos permanecen sin usar la inmensa mayoría del tiempo. Es el principio de mínimo privilegio aplicado tanto al tiempo como al alcance.
KDF (función de derivación de claves)
Una función de derivación de claves convierte una contraseña humana en una clave criptográfica de longitud fija. Como las contraseñas son cortas y fáciles de adivinar, una KDF es deliberadamente lenta y voraz en recursos: aplica un gran número de iteraciones y, en los diseños modernos, un requisito sustancial de memoria, de modo que cada intento cuesta al atacante tiempo y hardware reales. Es lo que se interpone entre una bóveda cifrada robada y su contenido. Argon2id y PBKDF2 son las dos KDF más utilizadas en las bóvedas de contraseñas, y también se encuentran scrypt y bcrypt. Elegir una KDF supone también elegir sus parámetros: número de iteraciones, coste de memoria y paralelismo. Heimlane Vault deriva la clave maestra en el lado del cliente con Argon2id (recomendado) o PBKDF2.
Movimiento lateral
El movimiento lateral es lo que hace un atacante tras el compromiso inicial: saltar desde la primera máquina o cuenta hacia otras más valiosas hasta llegar al administrador de dominio, al hipervisor o a las copias de seguridad. Las técnicas se apoyan en lo que ya está a mano, como contraseñas de administrador local reutilizadas, credenciales en caché, cuentas de servicio con demasiados privilegios y rutas de red sin restricciones entre estaciones de trabajo y servidores. La mayor parte del daño en un incidente de ransomware se produce en esta fase y no en el punto de entrada. El mínimo privilegio, las credenciales únicas en cada máquina, la segmentación de red y el paso de todo el acceso administrativo por un bastión son lo que rompe la cadena.
Mínimo privilegio
El principio de mínimo privilegio establece que los usuarios, las cuentas y los procesos solo deben tener los permisos mínimos necesarios para realizar sus tareas. Aplicarlo reduce la superficie de ataque al limitar a qué puede acceder una cuenta comprometida. En el contexto del PAM, el mínimo privilegio significa conceder a los administradores acceso únicamente a los servidores y aplicaciones concretos que necesitan, durante el tiempo que lo necesitan, sin permisos permanentes.
Contraseña maestra
La contraseña maestra es la única contraseña que desbloquea una bóveda de contraseñas. En un diseño zero-knowledge nunca sale del dispositivo del usuario: se pasa localmente a una función de derivación de claves, que produce la clave que cifra y descifra el contenido de la bóveda, y el proveedor solo almacena texto cifrado. La consecuencia es absoluta, y es precisamente el objetivo: nadie, ni siquiera el fabricante, puede restablecer la contraseña maestra ni recuperar la bóveda sin ella. Por eso debe ser una frase de contraseña larga y única, nunca reutilizada en otro sitio, protegida por un segundo factor y respaldada por un acuerdo de acceso de emergencia, no por una copia olvidada en un navegador.
MFA / 2FA
La autenticación multifactor (MFA) y la autenticación en dos pasos (2FA) exigen a los usuarios demostrar su identidad con dos o más factores independientes: algo que saben (contraseña), algo que tienen (teléfono, llave de seguridad) o algo que son (biometría). El MFA reduce de forma significativa el riesgo de compromiso de cuentas por credenciales robadas. Tanto OWASP como la ANSSI recomiendan el MFA para cualquier acceso privilegiado o sensible.
Fatiga de MFA
La fatiga de MFA, también llamada push bombing, es un ataque en el que un adversario que ya tiene una contraseña válida lanza solicitudes de autenticación una y otra vez hasta que el usuario legítimo aprueba una por irritación, confusión o porque son las tres de la madrugada. Derrota al MFA simple basado en aprobación push precisamente porque aprobar no requiere más que un toque. Las mitigaciones son la coincidencia de números, que obliga al usuario a leer un código de la pantalla en la que realmente está iniciando sesión, la limitación del ritmo de las solicitudes y, mejor aún, autenticadores resistentes al phishing por construcción, como las llaves de hardware FIDO2.
MSP / MSSP
Un Managed Service Provider (MSP) es una empresa que gestiona de forma remota la infraestructura informática de un cliente, normalmente servidores, redes, equipos finales y seguridad. Un Managed Security Service Provider (MSSP) se especializa en operaciones de seguridad. Los MSP y MSSP necesitan herramientas multiinquilino por diseño, que les permitan gestionar a varios clientes desde una única plataforma manteniendo un aislamiento estricto de los datos entre inquilinos.
Agencias nacionales de ciberseguridad
Las agencias nacionales de ciberseguridad son organismos públicos que publican estándares de seguridad, emiten avisos, certifican productos y coordinan la respuesta a incidentes a escala nacional o regional. Sus directrices condicionan los requisitos de contratación, los marcos regulatorios y las expectativas básicas sobre lo que significa “buena seguridad” en su jurisdicción. Principales agencias con las que te encontrarás en el sector:
- ACN (Agenzia per la Cybersicurezza Nazionale, Italia) es la autoridad nacional de ciberseguridad de Italia, creada en 2021. Coordina la respuesta a incidentes a través de CSIRT Italia y mantiene el marco del Perimetro di Sicurezza Nazionale Cibernetica para las infraestructuras críticas nacionales.
- ACSC (Australian Cyber Security Centre, Australia) publica el Essential Eight, uno de los pocos marcos gubernamentales que clasifica explícitamente los controles de seguridad por prioridad y nivel de madurez. Muy citado a nivel internacional como punto de partida para el refuerzo de la seguridad.
- ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information, Francia) es la agencia nacional de ciberseguridad de Francia. Publica el Référentiel Général de Sécurité y los esquemas de certificación CSPN y SecNumCloud, y es la referencia esencial para la contratación del sector público francés y para las empresas sujetas a la regulación francesa y europea.
- BSI (Bundesamt für Sicherheit in der Informationstechnik, Alemania) publica el marco IT-Grundschutz y certifica productos según el esquema nacional alemán.
- CCN-CERT (Centro Criptológico Nacional, España) es el centro criptológico nacional de España. Publica el ENS (Esquema Nacional de Seguridad), el marco de seguridad obligatorio para el sector público español.
- CISA (Cybersecurity and Infrastructure Security Agency, Estados Unidos) es el referente operativo federal de EE. UU. en ciberdefensa y protección de infraestructuras críticas. Su catálogo de vulnerabilidades explotadas conocidas (KEV) es una referencia autorizada.
- ENISA (Agencia de la Unión Europea para la Ciberseguridad) es el organismo de la UE que apoya a los Estados miembros en política, desarrollo de capacidades y aplicación de directivas como NIS2.
- NCSC (National Cyber Security Centre, Reino Unido) es la autoridad del Reino Unido en amenazas cibernéticas y buenas prácticas. Su esquema Cyber Essentials es una certificación de referencia muy extendida.
- NIST (National Institute of Standards and Technology, Estados Unidos) publica la serie SP 800 y el NIST Cybersecurity Framework (CSF), los estándares de seguridad más referenciados del sector a nivel mundial.
Estas agencias suelen coincidir en los principios básicos (mínimo privilegio, defensa en profundidad, registros de auditoría, MFA), por lo que seguir a cualquiera de ellas tiende a satisfacer a la mayoría de las demás. El diseño de producto de Heimlane se basa en las directrices de varias agencias y no de una sola jurisdicción.
NIS2
NIS2 (Network and Information Security Directive 2) es la directiva de la Unión Europea que amplía las obligaciones de ciberseguridad a una gama más amplia de organizaciones, incluidas las empresas de tamaño medio de sectores esenciales e importantes. NIS2 exige medidas como el control de acceso, la notificación de incidentes, la gestión de riesgos, la seguridad de la cadena de suministro y la responsabilidad a nivel directivo. El artículo 21 aborda específicamente el control de acceso y la gestión de accesos privilegiados como medidas de seguridad obligatorias.
PAM
PAM (Privileged Access Management, gestión de accesos privilegiados) es la disciplina de controlar, monitorizar y auditar el acceso a sistemas críticos por parte de usuarios con permisos elevados (administradores, proveedores externos, cuentas de servicio). Una solución PAM suele incluir un bastión o pasarela, una bóveda de contraseñas, grabación de sesiones, políticas de acceso e inyección de credenciales. El PAM aborda el riesgo de que las cuentas privilegiadas, si se ven comprometidas, den a los atacantes acceso directo a los sistemas más sensibles de una organización.
Passkey
Una passkey es una credencial FIDO2 que sustituye por completo a la contraseña, en lugar de añadirle un segundo factor. La clave privada reside en el hardware seguro del dispositivo o en un llavero sincronizado, y el usuario la libera con un dato biométrico o un PIN del dispositivo, de modo que iniciar sesión no implica ningún secreto compartido que robar, suplantar o reutilizar. Las passkeys son resistentes al phishing por construcción, porque la credencial está vinculada al origen del sitio y el navegador se niega a usarla en cualquier otro. La adopción sigue siendo desigual: las passkeys son excelentes donde existen, pero la mayoría del software empresarial sigue esperando una contraseña, así que las bóvedas y las passkeys convivirán durante años en lugar de sustituirse mutuamente.
Rotación de contraseñas
La rotación de contraseñas es la práctica de cambiar las credenciales de forma periódica o tras un hecho desencadenante: la salida de un administrador, el fin del contrato de un proveedor, un compromiso sospechado. La rotación periódica generalizada de las contraseñas de los usuarios ha caído en desuso, y tanto el NIST como la ANSSI aconsejan ahora no imponerla sin motivo, porque empuja a las personas hacia variaciones previsibles de la misma contraseña. Las cuentas privilegiadas y compartidas son otra cosa: esas credenciales las conocen varias personas, rara vez están vinculadas a un individuo y rotarlas tras su uso o en una baja es la única forma fiable de revocar el acceso. La inyección de credenciales lo hace viable, ya que los usuarios nunca ven la contraseña y no sufren molestias cuando cambia.
Password spraying
El password spraying prueba un número reducido de contraseñas muy comunes contra un gran número de cuentas, en lugar de muchas contraseñas contra una sola cuenta. Como cada cuenta solo recibe uno o dos intentos fallidos, nunca se alcanzan los umbrales de bloqueo y los intentos se confunden con el ruido de fondo. Es una jugada de apertura habitual contra los puntos de autenticación expuestos: pasarelas RDP, portales VPN, correo web y servicios de directorio. Detectarlo requiere correlación entre cuentas en lugar de contadores por cuenta, y la solución estructural es el MFA combinado con el rechazo de contraseñas débiles o ya filtradas en el momento en que se eligen.
Bóveda de contraseñas
Una bóveda de contraseñas es una caja fuerte digital cifrada que almacena contraseñas, credenciales, notas, tarjetas de pago y otros datos sensibles. Una bóveda de contraseñas empresarial añade funciones como el uso compartido en equipo, controles de acceso, bóvedas compartidas y registros de auditoría. A diferencia de las soluciones de consumo, una bóveda empresarial se integra con las herramientas de gestión de accesos privilegiados para permitir la inyección de credenciales en sesiones remotas sin exponer las contraseñas a los usuarios.
PBKDF2
PBKDF2 (Password-Based Key Derivation Function 2) es una función de derivación de claves que aplica una función pseudoaleatoria (normalmente HMAC-SHA256) a una contraseña junto con una sal, repetida durante muchas iteraciones, para producir una clave derivada. El elevado número de iteraciones (600 000 es la recomendación actual de OWASP) hace que los ataques de fuerza bruta sean costosos computacionalmente. PBKDF2 es compatible con todas las plataformas y sigue siendo la KDF por defecto de los clientes compatibles con Bitwarden.
Phishing / adversary-in-the-middle
El phishing es el uso de un mensaje convincente y una página falsa para obtener credenciales de un usuario. El adversary-in-the-middle (AiTM) es su forma moderna: en lugar de recoger una contraseña para usarla más tarde, la página falsa retransmite la sesión al servicio real en tiempo real, reenvía el desafío de MFA a la víctima y captura la cookie de sesión resultante. La cuenta queda entonces accesible sin la contraseña y sin el segundo factor. Los códigos TOTP y las notificaciones push no resisten este ataque; las credenciales vinculadas al origen, como FIDO2 y las passkeys, sí, porque el navegador se niega a firmar para un dominio que no es el auténtico. Un gestor de contraseñas también ayuda, ya que no autorrellena en un dominio que no coincide.
PKI
La PKI (public key infrastructure, infraestructura de clave pública) es el conjunto de autoridades de certificación, procesos de registro, mecanismos de revocación y políticas que vinculan una clave pública con una identidad. Sustenta los certificados TLS de los sitios web, los certificados de cliente para la autenticación de máquinas y usuarios, la firma de código, el correo S/MIME y las autoridades de certificación SSH. Lo difícil no es la criptografía, sino el ciclo de vida: emitir certificados a las partes correctas, renovarlos antes de que caduquen y revocarlos con rapidez cuando una clave se ve comprometida o una persona se va. Los certificados caducados siguen siendo una de las causas más fiables de caídas autoinfligidas.
Cuentas privilegiadas
Las cuentas privilegiadas son las cuentas con derechos elevados en un sistema de información: administradores de sistemas, administradores de bases de datos, cuentas de servicio, cuentas root. Estas cuentas son objetivos prioritarios para los atacantes, porque comprometer una de ellas da acceso directo a los recursos más sensibles de una organización. La gestión de accesos privilegiados (PAM) tiene como objetivo controlar, monitorizar y auditar el uso de estas cuentas para reducir la superficie de ataque.
Ransomware
El ransomware es un malware que cifra los datos de una organización y exige un pago por la clave de descifrado, hoy casi siempre combinado con una exfiltración previa para que el atacante pueda extorsionar por segunda vez amenazando con publicar los datos. Los incidentes modernos son operaciones con las manos en el teclado y no un virus que se propaga solo: un operador obtiene acceso, a menudo mediante una credencial robada o un servicio RDP expuesto, escala privilegios, se mueve lateralmente, destruye las copias de seguridad y solo entonces detona la carga maliciosa. Por eso la higiene de credenciales, el control de accesos privilegiados y las copias de seguridad fuera de línea determinan el resultado mucho más que la detección que se produce al final de la cadena.
RBAC
El control de acceso basado en roles (RBAC) es un método de control de acceso en el que los permisos se asignan a roles y no a usuarios individuales. Los usuarios se asignan después a roles según su función. El RBAC simplifica la gestión de accesos, reduce la carga administrativa y facilita aplicar el mínimo privilegio en toda la organización. Cuando un empleado cambia de rol, sus accesos cambian con la asignación de su rol, sin necesidad de actualizar permisos de forma individual.
RDP / SSH / VNC
Son los tres protocolos utilizados para la administración remota. RDP (Remote Desktop Protocol, de Microsoft) ofrece acceso gráfico a un escritorio o servidor Windows. SSH (Secure Shell) ofrece una sesión de línea de comandos cifrada en Linux, Unix y equipos de red, y también transporta transferencias de archivos y túneles. VNC (Virtual Network Computing) comparte un escritorio gráfico entre plataformas y es habitual en estaciones de trabajo Linux, hipervisores y appliances. Los tres son objetivos prioritarios: exponer RDP o SSH directamente a internet atrae intentos de fuerza bruta en cuestión de horas, por eso deben estar detrás de un bastión que autentique al usuario, inyecte las credenciales y grabe la sesión. Heimlane Realm hace de proxy de los tres en el navegador mediante HTML5, sin software cliente y sin VPN.
Códigos de recuperación
Los códigos de recuperación son códigos de un solo uso que se emiten al activar la autenticación en dos pasos, para usarlos si se pierde el segundo factor: un teléfono robado, una aplicación de autenticación borrada, una llave de hardware extraviada. Cada código funciona una sola vez. Conviene imprimirlos o guardarlos en un lugar separado del dispositivo y de la bóveda que protegen, ya que guardarlos dentro de la propia cuenta que desbloquean anula su propósito. Los códigos de recuperación son una copia de seguridad solo del segundo factor: no recuperan una contraseña maestra y no pueden descifrar una bóveda zero-knowledge. Heimlane Vault muestra un conjunto de códigos de recuperación una sola vez, cuando activas la 2FA.
RSA-2048
RSA-2048 es un algoritmo de cifrado asimétrico que utiliza un par de claves (pública y privada) para cifrar y descifrar datos. La longitud de clave de 2048 bits se considera segura para el uso actual y la recomiendan el NIST y la ANSSI. En la gestión de contraseñas, RSA se utiliza normalmente para compartir datos cifrados entre usuarios: el remitente cifra con la clave pública del destinatario y solo la clave privada del destinatario puede descifrar. Heimlane Vault utiliza RSA-2048 para el uso compartido zero-knowledge en equipo dentro de las organizaciones.
SCIM
SCIM (System for Cross-domain Identity Management) es el protocolo REST estándar para aprovisionar cuentas de usuario entre sistemas. Mientras que el SSO responde a la pregunta “¿puede esta persona iniciar sesión?”, SCIM responde a “¿tiene esta persona una cuenta?”: el proveedor de identidad envía a cada aplicación conectada las altas de cuentas, las actualizaciones de atributos, los cambios de grupo y, sobre todo, las desactivaciones. Sin él, la baja de un empleado depende de que alguien recuerde todas las herramientas a las que tenía acceso. Es una expectativa habitual en la contratación empresarial y un control de seguridad real, ya que las cuentas inactivas de antiguos empleados son una causa raíz recurrente en los informes de brechas.
SecNumCloud
SecNumCloud es la cualificación que emite la ANSSI para los proveedores de servicios en la nube. Va más allá de los controles técnicos: impone requisitos sobre la estructura jurídica del proveedor, que debe ser inmune al derecho extraterritorial no europeo como la CLOUD Act, y sobre la ubicación de los datos, de la administración y del soporte. Es la referencia para la contratación de nube del sector público francés bajo la doctrina del “cloud de confiance”, y cada vez más para los operadores de importancia vital y los sectores regulados. La cualificación es exigente y la poseen pocos proveedores, lo que la convierte en un diferenciador real y no en una simple casilla que marcar.
Cuentas de servicio
Una cuenta de servicio es una identidad no humana que utiliza una aplicación, un script, una tarea programada o un elemento de infraestructura para autenticarse en otro sistema. Las cuentas de servicio suelen superar en número varias veces a las cuentas humanas, tienen permisos amplios y llevan contraseñas establecidas en el despliegue y nunca cambiadas, a menudo porque nadie está seguro de qué dejaría de funcionar. Rara vez están cubiertas por los procesos de altas, cambios y bajas y casi nunca están protegidas por MFA, lo que las convierte en una vía preferida para el movimiento lateral. Llevarlas a una bóveda, dar a cada una una identidad distinta, restringir lo que puede hacer y rotar su secreto suele ser el proyecto de accesos privilegiados de mayor valor con el que puede empezar una organización.
Aislamiento de sesión
El aislamiento de sesión significa que la estación de trabajo del administrador nunca habla directamente con el sistema de destino: la conexión la establece un componente intermedio y al usuario solo llegan píxeles y pulsaciones de teclas. Un portátil comprometido no puede, por tanto, alcanzar la red del servidor, el malware no puede seguir el túnel y la credencial nunca está presente en el equipo. El aislamiento también da al punto de control un lugar donde aplicar reglas de portapapeles y de transferencia de archivos, y donde grabar la sesión. Un bastión basado en navegador aísla por construcción, ya que el cliente es una página web y no una ruta de red. Heimlane Realm muestra las sesiones RDP, SSH y VNC en el navegador mediante HTML5, de modo que no hace falta ninguna ruta directa entre la estación de trabajo y el destino.
Grabación de sesiones
La grabación de sesiones es la captura y el almacenamiento de todo lo que ocurre durante una sesión de acceso privilegiado (RDP, SSH, VNC o web). Las grabaciones pueden incluir vídeo de la pantalla, registros de pulsaciones de teclas, historiales de comandos y metadatos como marcas de tiempo e identidad del usuario. Las grabaciones de sesiones proporcionan un registro auditable para el cumplimiento, la investigación forense y la supervisión en tiempo real de las acciones administrativas. Heimlane Realm graba todas las sesiones privilegiadas con detección de eventos basada en OCR para obtener registros de auditoría donde se puede buscar.
Shadow IT
El shadow IT es cualquier software, servicio o dispositivo utilizado para trabajar sin el conocimiento o la aprobación del departamento de TI: una cuenta personal para compartir archivos, una suscripción SaaS departamental pagada con tarjeta, un asistente de IA al que se entregan datos de la empresa. Crece porque las herramientas autorizadas son más lentas o no existen, no por mala fe. La consecuencia para la seguridad es que las credenciales y los datos acaban en sistemas que nadie monitoriza, que la baja de usuarios no puede revocar y que ningún plan de respuesta a incidentes cubre. Ofrecer herramientas realmente más fáciles que la alternativa en la sombra, y una bóveda en la que las credenciales sigan siendo visibles para la organización, resuelve más que cualquier prohibición.
SIEM
Un sistema SIEM (security information and event management) recopila los registros de todo un sistema de información, los normaliza, correlaciona eventos entre fuentes y genera alertas sobre patrones que ninguna fuente revelaría por sí sola. Es la herramienta en la que vive un equipo de seguridad, y normalmente el sistema de referencia para la conservación de registros y la investigación de incidentes. Alimentarlo con los eventos de acceso privilegiado, es decir, quién abrió qué sesión, en qué destino y con qué cuenta, es lo que hace visible la actividad administrativa junto con todo lo demás, normalmente mediante syslog, una API o una exportación en formato CEF. Splunk, Elastic, Microsoft Sentinel y Wazuh son ejemplos habituales.
SOC 2
SOC 2 es un marco de auditoría estadounidense definido por el AICPA que informa sobre los controles de una organización de servicios según cinco criterios de servicios de confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Un informe Tipo I evalúa el diseño de los controles en un momento dado; un informe Tipo II comprueba su eficacia operativa durante un periodo, normalmente de seis a doce meses, y es el que los compradores realmente quieren ver. A diferencia de ISO 27001, produce un informe de auditor y no una certificación, y es el requisito habitual en la contratación norteamericana allí donde los compradores europeos piden ISO 27001.
SSO
El inicio de sesión único (Single Sign-On, SSO) permite a los usuarios autenticarse una sola vez y acceder a varias aplicaciones sin volver a introducir sus credenciales. El SSO mejora la experiencia del usuario y reduce la fatiga de contraseñas, pero también concentra el riesgo: si el proveedor de SSO se ve comprometido, todas las aplicaciones conectadas quedan expuestas. El SSO se implementa normalmente con protocolos como SAML 2.0 u OpenID Connect.
Ataque a la cadena de suministro
Un ataque a la cadena de suministro compromete a una organización a través de uno de sus proveedores en lugar de atacarla de frente: un fabricante de software cuyo mecanismo de actualización es subvertido, una dependencia de código abierto de la que alguien toma el control o, lo más habitual para las empresas corrientes, un proveedor de servicios cuyo acceso remoto a sus clientes es objeto de abuso. Esa tercera variante es la razón por la que el acceso de terceros merece los mismos controles que el de los empleados: cuentas nominales y no una compartida, acceso restringido a los sistemas afectados y a la ventana de intervención, credenciales que el proveedor nunca llega a poseer y una grabación de lo que se hizo. Heimlane Realm se diseñó pensando en el acceso de proveedores y terceros.
TLS 1.3
TLS 1.3 (Transport Layer Security, versión 1.3) es la versión más reciente del protocolo que protege las comunicaciones por internet. En comparación con TLS 1.2, elimina los conjuntos de cifrado obsoletos, reduce el handshake a un solo viaje de ida y vuelta (mejorando el rendimiento) y exige Perfect Forward Secrecy (PFS), lo que significa que, aunque la clave privada de un servidor se vea comprometida en el futuro, las sesiones pasadas no pueden descifrarse.
TOTP
TOTP (Time-based One-Time Password, definido en la RFC 6238) es el estándar que hay detrás de los códigos rotatorios de seis dígitos que muestran las aplicaciones de autenticación. El servicio y la aplicación comparten una semilla secreta una sola vez, normalmente escaneando un código QR, y después cada parte deriva por su cuenta el mismo código a partir de esa semilla y de la hora actual, normalmente en ventanas de 30 segundos. Después no se envía nada entre ellos, por lo que TOTP funciona sin conexión y no depende del SMS, vulnerable al SIM swapping. TOTP detiene los ataques basados en contraseñas robadas o reutilizadas, pero no el phishing en tiempo real: un código escrito en una página de inicio de sesión falsa puede ser reutilizado por un atacante dentro de su ventana de validez, por lo que las llaves de hardware FIDO2 / WebAuthn siguen siendo la opción más sólida para las cuentas más sensibles. Heimlane Vault tiene un autenticador integrado que guarda la semilla TOTP en el elemento de inicio de sesión y genera el código cuando lo necesitas, y nuestro decodificador gratuito de exportaciones de Google Authenticator te permite sacar las semillas existentes de Google Authenticator y llevarlas a la bóveda o a cualquier otra herramienta.
Zero-knowledge
La arquitectura zero-knowledge significa que el proveedor del servicio tiene cero capacidad para acceder a los datos de los clientes, leerlos o recuperarlos. Todo el cifrado y el descifrado se realiza en el dispositivo del usuario (lado del cliente), y el proveedor solo almacena texto cifrado. Aunque los servidores del proveedor sean vulnerados, el atacante solo obtiene datos cifrados que no pueden descifrarse sin la contraseña maestra del usuario. El proveedor no puede restablecer contraseñas ni recuperar bóvedas porque nunca posee las claves de descifrado.
Zero trust
Zero trust es un modelo de seguridad basado en el principio “nunca confíes, verifica siempre”. En lugar de asumir que los usuarios o dispositivos dentro del perímetro de la red son de confianza, zero trust exige la verificación continua de la identidad, del estado del dispositivo y del contexto en cada solicitud de acceso. Las arquitecturas zero trust suelen combinar autenticación fuerte, microsegmentación, acceso de mínimo privilegio y monitorización continua. ZTNA (Zero Trust Network Access) implementa este modelo para el acceso remoto a aplicaciones y recursos.
ZTNA
ZTNA (Zero Trust Network Access) sustituye a las VPN tradicionales al proporcionar acceso a nivel de aplicación basado en la identidad y el contexto, en lugar de acceso a nivel de red. A diferencia de una VPN, que da un acceso amplio a toda una red, ZTNA concede acceso únicamente a las aplicaciones concretas que el usuario está autorizado a utilizar. ZTNA aporta la capa de conectividad, mientras que PAM aporta la capa de gobernanza: quién accedió a qué, cuándo, con qué credenciales y qué hizo durante la sesión.