Explica el principio de mínimo privilegio y cómo lo aplicarías.

El mínimo privilegio es un principio fundamental que aparece en todas partes, desde Active Directory hasta el IAM en la nube. Los entrevistadores quieren saber que entiendes por qué importa y cómo lo aplicarías realmente.

El principio

Cada usuario, cuenta, proceso y servicio debería tener solo el acceso necesario para desempeñar su función — y nada más. Un técnico de soporte no necesita derechos de administrador de dominio; la cuenta de base de datos de una aplicación web no necesita poder eliminar tablas; un microservicio no debería tener permisos en la nube amplios sobre toda la cuenta.

Por qué importa

El beneficio central es limitar el radio de impacto. Cuando una cuenta se ve inevitablemente comprometida — por phishing, un token robado o un servicio vulnerable — el mínimo privilegio acota lo que el atacante puede alcanzar. Una cuenta con privilegios excesivos es una llave maestra; una bien acotada es un callejón sin salida. También reduce el riesgo de amenaza interna y disminuye la superficie de ataque general.

Cómo aplicarlo

• Control de acceso basado en roles (RBAC): definir roles con permisos acotados y asignar personas a roles en lugar de conceder derechos ad hoc.
• Separar funciones y cuentas: los administradores usan cuentas estándar para el trabajo diario y elevan privilegios solo cuando es necesario.
• Acceso justo a tiempo (JIT) y limitado en el tiempo: conceder derechos elevados temporalmente y revocarlos automáticamente.
• Revisiones de acceso periódicas: combatir la acumulación de privilegios, donde las personas acumulan permisos al cambiar de rol pero nunca pierden los antiguos.
• Identidades de servicio acotadas: en la nube, restringir las políticas IAM y evitar roles comodín o de administrador para las cargas de trabajo.

Por qué esto importa

Los entrevistadores hacen esta pregunta para ver si conectas el principio con resultados reales. Una respuesta sólida vincula el mínimo privilegio con la reducción del radio de impacto, señala la acumulación de privilegios como el enemigo y propone mecanismos concretos — RBAC, acceso JIT y revisiones periódicas — en lugar de solo definir el término.