La sofisticación y dirección que se brinda a las amenazas de seguridad tanto de atacantes externos como internos hacen que cada vez sea más difícil y costoso para las organizaciones afrontar este tipo de riesgos. Además, hoy en día, existen grandes organizaciones criminales que disponibilizan, para terceros sin grandes conocimientos técnicos, plataformas y software completos como servicio (PaaS y SaaS) dedicadas a cometer delitos informáticos. Por otro lado, el crecimiento de las infraestructuras TIC incorporando entornos mixtos y heterogéneos que abarcan distintas localidades tanto físicas como en la nube, han agregado complejidad a la implementación de seguridad de la información hacia los activos y, específicamente, a la adecuada implantación de roles, responsabilidades y accesos con privilegios. Es un hecho, como lo señala el último reporte de brechas de Verizon  (https://www.verizon.com/business/resources/reports/dbir/), que el principal vector de ataque corresponde al robo de cuentas (credenciales), en particular aquellas cuentas con privilegios.

 Hay dos tipos de cuentas: Las cuentas de usuario y las cuentas privilegiadas. Las cuentas de usuario son aquellas asociadas a una persona y que permiten acceder a un entorno, servicio o infraestructura bajo o con un rol funcional. Es decir, este tipo de cuentas permite iniciar sesión en un banco, un comercio electrónico, sistema de pensión, correo electrónico, cuentas de redes sociales, sistema CRM, sistema ERP, etc. Las cuentas de usuario representan a una persona y poseen asociadas una contraseña la cual controla el acceso para aquel que "conozca algo", este algo corresponde, como he señalado, a la contraseña. Lo anterior, podría ser robustecido mediante autenticación de doble factor (A2F) o de múltiple factor (AMF), por supuesto dependiendo de las necesidades, políticas y regulaciones propias de cada entorno. Normalmente, un usuario solo posee una única cuenta de usuario (por sistema). En resumen, se trata de un usuario/contraseña que permite acceder a un servicio, aplicación y/o recurso PERO que no permite modificar las condiciones, comportamientos, configuraciones, roles, accesos o privilegios de este. 

 Por otro lado, una cuenta privilegiada puede o no ser un humana (cuentas de servicio), como también no necesariamente debe representar o corresponder con un humano. Se trata entonces de aquellas credenciales las cuales permiten a los equipos de TI realizar la administración y soporte de aplicaciones, software, servidores, servicios, hardware, dispositivos de comunicaciones, de seguridad, en fin; Toda la infraestructura tecnológica, de comunicaciones, seguridad de la información, ciberseguridad y operacional que soporta y apoya el negocio. Es decir, se trata de cuentas que SÍ permiten modificar las condiciones, comportamientos, configuraciones, roles, accesos o privilegios de este.