Evaluación de consideraciones de privacidad, permisos y cumplimiento
Ayuda remota es una funcionalidad de soporte técnico y debe usarse sin exponer a usuarios o dispositivos a riesgos innecesarios. Los controles de privacidad, el acceso basado en roles y las revisiones de cumplimiento ayudan a mantener Ayuda remota sesiones seguras, transparentes y alineadas con la directiva de la organización.
Protección de la privacidad del usuario en cada sesión
Ayuda remota está diseñado para que el usuario siga teniendo en cuenta la interacción de soporte técnico. Tanto el asistente como el sharer inician sesión con cuentas de Microsoft Entra ID de la organización y Ayuda remota muestra información de identidad como nombre, empresa, dominio comprobado y título de trabajo antes de que continúe la sesión.
Se puede iniciar una sesión desde la aplicación Ayuda remota o, para los dispositivos inscritos admitidos, desde el centro de administración de Microsoft Intune. En una sesión basada en código, el asistente proporciona el código de seguridad al usuario. A continuación, el usuario revisa la identidad del asistente y elige si desea permitir el uso compartido de pantalla o el control total, o rechazar la solicitud.
Dado que la sesión es interactiva, el usuario puede finalizarla en cualquier momento. Esto hace que Ayuda remota sea diferente de las amplias herramientas administrativas, ya que el acceso es visible para el usuario y está vinculado a una sesión de soporte técnico aprobada.
Aplicación de permisos con privilegios mínimos para el personal de soporte técnico
Los agentes de soporte técnico solo deben tener los permisos de Ayuda remota que necesitan. En Microsoft Intune, asigne roles de departamento de soporte técnico o permisos de control de acceso basado en rol (RBAC) personalizados que permitan que un agente se conecte a los dispositivos sin conceder amplios derechos de administración.
Compruebe estos principios de permisos:
- Limite el ámbito del agente a los grupos de dispositivos que admiten.
- Permitir el uso compartido de pantalla y el control total solo cuando sea necesario para la tarea.
- Use roles independientes para ver sesiones y realizar acciones con privilegios elevados.
Este enfoque reduce la posibilidad de que un asistente pueda realizar cambios fuera del escenario de soporte técnico previsto. También facilita la interpretación de los seguimientos de auditoría, ya que cada sesión se asigna a un conjunto más estrecho de acciones permitidas.
Controlar el comportamiento de elevación y sesión
Ayuda remota puede admitir acciones con privilegios elevados en Windows cuando el asistente tiene el permiso de elevación de Ayuda remota necesario. Elevación permite que el asistente interactúe con las solicitudes de control de cuentas de usuario en el dispositivo del sharer y realice acciones que requieran privilegios administrativos.
La elevación debe tratarse como una funcionalidad de soporte técnico con privilegios. No se debe conceder a todos los asistentes de forma predeterminada. Las organizaciones deben definir cuándo se permite la elevación, qué roles de compatibilidad pueden usarla y cuándo se debe escalar un problema en lugar de controlarse durante la misma sesión.
Use estos controles de sesión para proteger el entorno:
- Requerir el consentimiento explícito del usuario para el uso compartido de pantalla y el control total.
- Conceda elevación solo para admitir roles que lo necesiten.
- Deshabilite el acceso desatendido para flujos de trabajo de soporte técnico de usuario normales.
- Limitar Ayuda remota uso en dispositivos con datos confidenciales o requisitos de seguridad más estrictos.
- Revise periódicamente la actividad de soporte técnico para detectar patrones de acceso inusuales.
Alinear Ayuda remota con los requisitos de cumplimiento y auditoría
Ayuda remota forma parte del proceso de soporte técnico del punto de conexión, por lo que debe estar cubierto por las mismas comprobaciones de cumplimiento que otras actividades de administración de dispositivos. Esto significa revisar los registros de sesión, los estados de cumplimiento de dispositivos y las decisiones de acceso con regularidad.
Las comprobaciones de cumplimiento clave incluyen:
- Comprobación de las identidades del asistente y del sharer en los informes de sesión.
- Confirmando que el dispositivo asistido estaba dentro del ámbito de soporte técnico del asistente.
- Revisar si la sesión usó control total o de solo vista.
- Al comprobar si las sesiones denegadas o con errores indican que faltan permisos, problemas de dispositivo o restricciones de directiva.
- Comparación de Ayuda remota actividad con registros de incidencias de soporte técnico y cumplimiento de dispositivos.
Ayuda remota detalles de sesión son útiles cuando necesita mostrar que las acciones de soporte técnico se han seguido a la directiva y que se ha respetado la privacidad del usuario.
Revisar la configuración de privacidad y permisos como parte de las operaciones de soporte técnico
Haga que la privacidad y los permisos revisen una parte regular de las operaciones de soporte técnico. Ayuda remota directivas y asignaciones de roles deben seguir coincidiendo con el modelo de soporte técnico de la organización, los requisitos normativos y el perfil de riesgo del dispositivo.
Una revisión periódica debe abarcar lo siguiente:
- Quién puede proporcionar Ayuda remota.
- Qué usuarios y grupos de dispositivos pueden recibir ayuda.
- Si el control total y la elevación siguen siendo adecuados para cada rol.
- Si se permite o se debe restringir la compatibilidad con dispositivos no inscritos.
- Cómo se revisan los metadatos de sesión y quién puede acceder a él.
Ayuda remota almacena una cantidad limitada de datos de sesión, como la hora de inicio y finalización de la sesión, quién ayudó a quién, el dispositivo asistido y las características usadas durante la sesión. No almacena grabaciones de sesión, imágenes de pantalla ni pulsaciones de tecla, y estos datos de sesión se conservan durante un máximo de 30 días.