¿Qué es una cuenta de emergencia (break-glass)?
Una cuenta de emergencia, o cuenta break-glass, es una cuenta con privilegios reservada para emergencias en las que las formas normales de iniciar sesión ya no funcionan. Existe para que los administradores puedan seguir accediendo a los sistemas críticos cuando el proveedor de identidad, el servicio de autenticación multifactor o el directorio están caídos o comprometidos.
¿Por qué los sistemas de copia de seguridad necesitan una cuenta de emergencia?
Los sistemas de copia se necesitan sobre todo cuando otras cosas han fallado. Si la consola de copias y la interfaz de gestión del almacenamiento solo aceptan cuentas del directorio de producción, perder ese directorio, por una caída o por ransomware, deja a los administradores fuera de los mismos sistemas que deben restaurarlo. Una cuenta de emergencia local, independiente del directorio y de cualquier servicio de autenticación externo, mantiene una vía de entrada.
¿Cómo se protege una cuenta de emergencia?
La cuenta es potente y se usa poco, lo que la hace atractiva para los atacantes y fácil de olvidar. Su protección se apoya en unas pocas reglas firmes.
| Control | Finalidad |
|---|---|
| Contraseña larga y aleatoria guardada fuera de línea | No puede obtenerse por phishing ni sacarse de un gestor de contraseñas que también esté caído |
| Conocimiento dividido o sobre sellado | Ninguna persona puede usarla sola sin que se note |
| Local en el sistema, fuera del directorio | Funciona cuando el directorio no funciona |
| Alerta en cada inicio de sesión | Cualquier uso se ve de inmediato |
| Cambio de contraseña tras cada uso | Una contraseña revelada dura poco |
| Prueba periódica | Confirma que la cuenta sigue funcionando |
¿Qué relación tiene con la MFA y el principio de los cuatro ojos?
Las cuentas de emergencia suelen estar exentas de la autenticación multifactor, porque el segundo factor puede depender de un servicio que no esté disponible. Esa exención solo es aceptable si los demás controles se mantienen: custodia fuera de línea, custodia compartida y alerta inmediata. Cuando es posible, una llave de hardware guardada junto con la contraseña sellada recupera un segundo factor sin dependencia en línea. El principio de los cuatro ojos se aplica de forma natural, ya que deberían hacer falta dos personas para recuperar las credenciales.
¿Qué no debería poder hacer una cuenta de emergencia?
El acceso de emergencia es para la recuperación. No debe ser una forma de saltarse la protección de los datos. Si las copias están bloqueadas en modo de cumplimiento, la cuenta de emergencia tampoco puede eliminarlas, y así debe ser. De lo contrario, una credencial de emergencia robada sería la vía más directa para destruir las copias. Diseñar la cuenta para que pueda restablecer el servicio pero no eliminar datos inmutables mantiene acotado el radio de impacto administrativo.
Preguntas frecuentes
¿Cuántas cuentas de emergencia debe haber?
Normalmente una o dos por sistema crítico, para que un solo bloqueo o un sobre perdido no elimine el acceso de emergencia.
¿Dónde debe guardarse la contraseña?
Fuera de línea, en una caja fuerte o en un sobre sellado bajo doble control, con una copia en una segunda ubicación.
¿Con qué frecuencia debe probarse una cuenta de emergencia?
Al menos una o dos veces al año, y después de cualquier cambio en la autenticación del sistema al que pertenece.