El estudio ha analizado la situación de la gestión de usuarios privilegiados en las empresas de 14 países –Alemania, Bélgica, Dinamarca, España, Finlandia, Francia, Holanda, Irlanda, Israel, Italia, Noruega, Portugal, Reino Unido y Suecia- refleja que el 41% de las empresas encuestadas en Europa –el 40% en España- que asegura haber implementado el estándar ISO27001 aún mantiene algunas prácticas no conformes con esta normativa, como es el compartir cuentas de usuarios privilegiados.

Otra mala práctica destacada en el estudio es el uso de nombres de usuario y contraseñas por defecto para las cuentas privilegiadas. En este caso, si se considera sólo aquella parte de la muestra que ha implementado ISO27001 para la gestión TI y tiene la certificación de un auditor externo al respecto, el porcentaje de incumplimiento sigue siendo elevado, alcanzando un 36%.

CA subraya el peligro de subestimar los riesgos de la falta de control sobre la actividad de los usuarios privilegiados, generalmente los administradores de la red, responsables de TI, del mantenimiento y disponibilidad de los sistemas, o administradores de sistemas operativos, aplicaciones de negocio, seguridad y bases de datos.

Exceso de privilegios y credenciales compartidas
Cuando estos usuarios acumulan un exceso de privilegios o comparten sus credenciales de acceso con otras personas pueden causar graves perjuicios, ya sea accidental o deliberadamente y si se utilizan claves de acceso compartidas o por defecto, la responsabilidad en caso de incidente se diluye. Además, CA advierte que hay muchos ejemplos de hackers cuyo objetivo son las cuentas privilegiadas para así obtener acceso a las aplicaciones e información más importante del negocio.

A pesar de estos riesgos, la investigación de Quocirca revela que el control y la monitorización de la actividad de los usuarios privilegiados no figura entre las principales preocupaciones de los responsables de TI corporativos. Los encuestados valoraron la gestión de usuarios privilegiados en octavo lugar entra las amenazas de seguridad, con una puntuación de 2,5 sobre 5, por debajo de las amenazas del malware (2,9), Internet (2,7), usuarios internos (2,7) y herramientas web (2,6).