Devolutions amplía la gestión de acceso privilegiado (PAM) con la incorporación de dispositivos y la gestión centralizada de software

Eliminar los permisos de administrador local puede reducir los accesos innecesarios, pero los equipos de TI aún necesitan una forma práctica de instalar y actualizar el software que utilizan los empleados. Devolutions amplía su plataforma con la incorporación de dispositivos y la gestión centralizada de software, con el objetivo de integrar esas tareas cotidianas con los controles que ya se utilizan para el acceso privilegiado.

Anunciadas el 9 de noviembre, estas funciones representan la primera fase de la hoja de ruta de la empresa para la gestión de privilegios en los dispositivos. Están diseñadas para funcionar junto con los sistemas existentes de gestión de dispositivos móviles, incluido Microsoft Intune, y utilizan la gestión de software basada en UniGetUI para que los administradores puedan aprobar, instalar y actualizar paquetes sin conceder permisos de administrador local a los usuarios.

Se espera que las nuevas funciones estén disponibles de forma general en diciembre de 2026. Amplían el alcance de la plataforma: además de controlar quién puede acceder a un sistema, permitirá gestionar el software que se ejecuta en los dispositivos incorporados, manteniendo las conexiones, las credenciales y los flujos de trabajo privilegiados en un espacio de trabajo compartido.

La incorporación de dispositivos conecta los controles de acceso con la gestión de los equipos

La gestión del acceso privilegiado y la gestión del software en los equipos abordan problemas relacionados. La PAM controla el acceso a cuentas y sesiones de alto nivel de privilegio; los controles de los equipos determinan cómo se instala y mantiene el software en las máquinas a las que acceden esas cuentas.

Devolutions prevé incorporar los dispositivos inscritos al mismo espacio de trabajo que los administradores utilizan para la PAM. El anuncio describe la inscripción desde soluciones MDM existentes, sin exigir que las organizaciones renuncien a sus inversiones en gestión de dispositivos. Microsoft Intune se menciona específicamente como un sistema con el que está diseñada para integrarse la nueva funcionalidad.

El objetivo práctico es separar una solicitud legítima de software de la concesión permanente de privilegios de administrador. Una instalación aprobada no debería exigir que se otorgue a un empleado amplia autoridad para realizar después otros cambios no relacionados. Centralizar ese flujo de trabajo también podría reducir la necesidad de que los administradores alternen entre herramientas distintas para gestionar el acceso y el mantenimiento rutinario de los equipos.

El anuncio no especifica la matriz completa de dispositivos compatibles ni todos los gestores de paquetes disponibles en la versión empresarial. Estos detalles de implementación serán importantes para que los equipos evalúen cómo encajan las funciones previstas para diciembre en su entorno actual.

UniGetUI reúne varios gestores de paquetes en una sola interfaz

El componente de gestión de software se basa en UniGetUI, la interfaz de código abierto de Devolutions para gestores de paquetes. El producto existente reúne la búsqueda, la instalación, la actualización y la eliminación de software en sistemas como WinGet, Chocolatey, Scoop, Pip, Npm y PowerShell Gallery.

UniGetUI también admite operaciones en lote y la exportación de listas de paquetes para utilizarlas en otro equipo. Ese contexto ayuda a explicar su función en el anuncio: ofrece una forma común de gestionar software distribuido a través de distintos ecosistemas de paquetes, mientras que las próximas funciones empresariales añaden aprobación y gestión centralizadas para los dispositivos incorporados.

Conviene distinguir la aplicación de código abierto existente del nuevo flujo de trabajo empresarial. Las funciones actuales de UniGetUI aportan contexto técnico, pero no confirman que todas las fuentes de paquetes, opciones o modalidades de implementación sean compatibles con la primera versión centralizada.

Los roles con permisos específicos limitan el alcance de las cuentas administrativas

La hoja de ruta para los dispositivos se suma a las recientes mejoras de la PAM, destinadas a granularizar los privilegios. Un administrador de Workspace puede gestionar usuarios y ajustes de la plataforma sin obtener automáticamente acceso al contenido de las bóvedas. Un rol específico de auditor permite que el personal de seguridad y cumplimiento revise los registros de actividad y los metadatos de las sesiones sin recuperar credenciales privilegiadas.

Esa separación resulta útil para los proveedores de servicios gestionados que trabajan en entornos de clientes y para las organizaciones que necesitan que distintas personas administren la plataforma, utilicen credenciales y revisen la actividad. Un cargo administrativo de amplio alcance no tiene por qué implicar autoridad sobre todos los secretos del sistema.

Devolutions también reúne en una sola bóveda las entradas de conexión y las credenciales de PAM. El objetivo es mantener cada credencial privilegiada asociada a la conexión que la utiliza y aplicar una única estructura de permisos a todo el flujo de trabajo.

«Históricamente, la PAM se ha diseñado para grandes equipos de seguridad con presupuestos elevados y meses disponibles, pero esa no es la forma de trabajar de los equipos de TI», afirmó David Hervieux, director ejecutivo de Devolutions, en el anuncio. La empresa presenta su plataforma como un conjunto de controles que los administradores de sistemas y los equipos de TI más pequeños pueden utilizar en sus tareas habituales.

Acceso por tiempo limitado, rotación y evidencia de las sesiones

La oferta de PAM de Devolutions integra los flujos de trabajo privilegiados con Remote Desktop Manager y un espacio de trabajo autohospedado o en la nube. En su sitio web, la empresa describe el descubrimiento de cuentas, la autenticación reforzada, la elevación de privilegios justo a tiempo y la supervisión de sesiones como componentes de este enfoque.

Con esta versión, los usuarios pueden solicitar el préstamo de credenciales por un tiempo limitado, con autenticación multifactor disponible. Los revisores pueden aprobar, rechazar o modificar las solicitudes a través de la interfaz web, la aplicación móvil o Remote Desktop Manager. Al finalizar el préstamo, las contraseñas se cambian automáticamente y se revocan los permisos de acceso justo a tiempo.

Las prórrogas aprobadas pueden adaptarse a tareas que excedan el plazo original. Las cuentas reutilizables de acceso justo a tiempo también conservan la identidad asociada a los buzones, las licencias y el historial, mientras que los límites de tiempo y los controles de aprobación regulan el acceso. La grabación de sesiones privilegiadas, los registros de actividad y los informes predefinidos aportan pruebas para su revisión posterior.

Estas capacidades cubren distintos momentos del ciclo de vida del acceso: la aprobación previa, los límites durante el uso y los cambios posteriores en las credenciales o los permisos. Su eficacia depende de las políticas que configure una organización y de los sistemas que incluya en su ámbito de aplicación.

Lanzamiento en diciembre y precios actuales de PAM

Devolutions tiene previsto presentar las nuevas funciones de inscripción de dispositivos y gestión de software en Microsoft Ignite, del 17 al 20 de noviembre, antes de su disponibilidad general, prevista para diciembre de 2026. El módulo PAM actual ya está disponible y ofrece una prueba de 14 días.

Según el anuncio, el paquete de Privileged Access Management cuesta 650 $ por usuario designado al año, con facturación anual y soporte estándar incluido. Los clientes actuales pueden añadir el módulo a su espacio de trabajo; para los nuevos clientes, el paquete incluye el espacio de trabajo en el que se ejecuta. El anuncio no establece un precio aparte para las próximas funciones de gestión de dispositivos finales.

La estrategia apunta a estrechar la conexión entre la gobernanza del acceso y las tareas cotidianas en los dispositivos finales. Al combinar credenciales controladas, conexiones remotas y operaciones de software autorizadas, Devolutions busca facilitar el mantenimiento del principio de mínimo privilegio una vez redactada la política de seguridad inicial.