¿Quién modificó esta configuración el jueves pasado? Fue la primera pregunta que hicimos en un diagnóstico reciente. La segunda fue por qué nadie en la sala podía responderla con certeza.
Lo que encontramos
El clúster Proxmox del cliente tenía una sola cuenta administrativa, usada por seis personas del equipo técnico durante los últimos tres años. Contraseña compartida en un documento interno, sin rotación, sin autenticación de dos factores. Esto es justamente lo que suele aparecer en una auditoría de accesos en Proxmox mal configurada desde el inicio. El log de auditoría de Proxmox registraba fielmente cada acción —qué VM se reinició, qué configuración de red cambió— pero todas bajo el mismo usuario. Técnicamente había un registro. En la práctica, no servía para identificar a nadie.
La motivación original tenía sentido: cuando el equipo era de dos personas, compartir una cuenta era simple y rápido. El problema es que el equipo creció, la rotación de personal trajo gente nueva con el mismo acceso heredado, y nadie revisó el esquema de nuevo.
Por qué esto importaba más allá del incidente puntual
El cliente procesa datos de clientes finales —nombres, historial de compras, datos de contacto— en sistemas que corren sobre ese mismo clúster. Si alguna vez hay que responder quién tuvo acceso a esos datos en un período específico, la respuesta hoy sería “alguien del equipo técnico, no podemos precisar quién”. Esa no es una respuesta que resista una auditoría, ni la pregunta de un cliente exigente.
Lo que se corrigió
Se crearon cuentas individuales para cada uno de los seis técnicos, con permisos acotados según su función real: dos con acceso administrativo completo, cuatro con permisos limitados a las VMs que efectivamente operan. Se activó autenticación de dos factores en las cuentas con permisos elevados. Y se estableció una revisión trimestral de accesos, para que el esquema no se vuelva a desactualizar en silencio como el anterior.
El trabajo completo tomó cuatro días, sin interrumpir la operación del clúster en ningún momento.
Lo que cambió
Hoy, si alguien pregunta quién modificó una configuración, la respuesta tiene nombre, fecha y hora. No es una garantía de que nunca va a haber un problema de seguridad. Es la diferencia entre poder investigar un incidente y tener que reconstruirlo de memoria.
¿Cuántas personas de tu equipo comparten hoy una misma cuenta con permisos administrativos?
