Las cuentas de acceso de emergencia no son solo otro administrador protegido por MFA

Tarde o temprano, a todo MSP le preguntan por qué un cliente necesita cuentas de acceso de emergencia dedicadas si ya se exige a todos los administradores usar autenticación multifactor. La respuesta es que las cuentas de acceso de emergencia resuelven un problema distinto: seguir siendo utilizables cuando el proveedor de identidad o el propio sistema MFA no está disponible, no añadir otra capa encima de un sistema que ya funciona.

Qué recomienda Microsoft

La guía de Microsoft para Entra ID exige al menos dos cuentas de acceso de emergencia solo en la nube, no sincronizadas desde un directorio local ni federadas a través de un proveedor de identidad externo, porque una cuenta que depende de la misma infraestructura a la que debe rescatar no es realmente una cuenta de emergencia. Microsoft recomienda autenticación resistente al phishing, como llaves FIDO2 o autenticación basada en certificados, deliberadamente independiente de los métodos que usan los administradores habituales, y una asignación permanente —no elegible ni limitada en el tiempo— del rol de administrador global en Privileged Identity Management, ya que un flujo de activación es precisamente lo que podría no funcionar durante una caída. Estas cuentas deben seguir cubiertas por políticas de acceso condicional que exijan MFA resistente al phishing; la exclusión recomendada es específicamente del bloqueo basado en geolocalización, no de los controles de acceso en general, dados los casos pasados de inicios de sesión legítimos mal clasificados geográficamente durante horas.

Qué añaden NIST y OWASP

El control AC-2(2) de NIST SP 800-53 plantea las cuentas de emergencia como algo que se activa para una crisis definida y después se desactiva o elimina automáticamente, en lugar de permanecer indefinidamente. La guía de MFA de OWASP señala los procesos de recuperación y omisión como un objetivo de ataque en sí mismos: el mecanismo que restaura el acceso durante una emergencia no debe convertirse silenciosamente en una forma de saltarse el MFA en condiciones normales.

Qué significa "demostrar que funciona"

• Supervisar los inicios de sesión de estas cuentas específicamente, con una alerta en cada intento, correcto o fallido.
• Realizar simulacros de acceso con una periodicidad fija, normalmente cada 90 días, en lugar de asumir que la configuración sigue funcionando.
• Redactar un breve análisis posterior tras cada uso real o simulacro y ajustar la configuración según lo detectado.
• Documentar quién puede recuperar las credenciales y cómo, porque la redundancia sin un proceso de recuperación no es realmente redundante.

Un diseño de acceso de emergencia que nunca se ha probado bajo un fallo simulado no es una salvaguarda: es una suposición.

Fuentes: Microsoft Learn — cuentas de acceso de emergencia, NIST SP 800-53 Rev. 5.