10 mejores prácticas de gestión de accesos

Un empleado que conserva acceso a información comercial tras salir de la empresa, una cuenta compartida entre varias personas o permisos de administrador concedidos por urgencia son riesgos de negocio, no detalles de informática. Las mejores prácticas de gestión de accesos permiten saber quién puede entrar, a qué información, desde dónde y durante cuánto tiempo. Sin ese control, la empresa opera con una puerta abierta que nadie está vigilando.

Para una pyme de 50 a 200 empleados, el problema no suele ser la ausencia total de herramientas. Microsoft 365, aplicaciones de contabilidad, CRM, plataformas de nóminas y almacenamiento en la nube ya están presentes. El problema es que cada herramienta acumula usuarios, permisos y excepciones sin una decisión común detrás. El resultado es una combinación costosa de riesgo, pérdida de tiempo y dependencia de personas concretas.

Por qué la gestión de accesos es una decisión directiva

Gestionar accesos no consiste en pedir a cada empleado que cambie su contraseña cada cierto tiempo. Consiste en definir qué información es sensible para la operación, quién necesita utilizarla y qué controles son proporcionales al riesgo. Dirección debe marcar ese criterio porque afecta a ventas, finanzas, continuidad operativa, cumplimiento y reputación.

El coste de hacerlo mal rara vez aparece como una única factura. Puede ser una transferencia fraudulenta iniciada desde una cuenta comprometida, la salida no autorizada de una base de datos de clientes o un ataque de ransomware que se propaga porque una cuenta tenía privilegios que no necesitaba. También puede ser algo menos visible: un responsable tarda días en reconstruir quién aprobó, modificó o descargó un documento crítico.

El otro extremo tampoco funciona. Restringir por defecto cada carpeta y cada aplicación hasta bloquear el trabajo diario genera atajos: cuentas compartidas, archivos enviados por correo personal y contraseñas anotadas donde no deberían. La meta no es poner obstáculos. Es aplicar control donde aporta valor y mantener agilidad donde el riesgo es bajo.

Empiece por saber qué accesos existen realmente

Antes de comprar otra solución de seguridad, haga un inventario. No un documento genérico, sino una relación verificable de las aplicaciones que utiliza la empresa, sus administradores, los tipos de usuario y la información que manejan. En muchas organizaciones aparecen herramientas contratadas por áreas concretas, cuentas de antiguos empleados y licencias que nadie revisa.

La revisión debe cubrir, como mínimo, Microsoft 365, correo electrónico, almacenamiento documental, ERP o contabilidad, CRM, banca electrónica, nóminas, herramientas de firma, copias de seguridad, sistemas de soporte y plataformas de comercio electrónico. Si una aplicación permite exportar información, aprobar pagos o administrar usuarios, requiere atención prioritaria.

No todas las cuentas tienen el mismo impacto. Clasifique los accesos en tres grupos prácticos: usuarios estándar, usuarios con datos sensibles y administradores. Un comercial puede necesitar el CRM y ciertos documentos de clientes; no necesita administrar identidades ni acceder a las copias de seguridad. Este principio, aparentemente obvio, evita buena parte de los privilegios innecesarios.

Mejores prácticas de gestión de accesos que sí reducen riesgo

Aplique el principio de mínimo privilegio

Cada persona debe disponer solo de los permisos necesarios para desempeñar su función actual. No los que tuvo cuando entró, ni los que podrían ser útiles algún día. Los permisos se amplían cuando hay una necesidad justificada y se retiran cuando esa necesidad desaparece.

Esto exige definir roles por función, no asignar permisos persona por persona siempre que sea posible. Por ejemplo, un grupo de facturación puede acceder al sistema contable con un perfil determinado, mientras que un responsable financiero dispone de permisos adicionales de aprobación. Así se reduce la improvisación y se simplifica la revisión posterior.

Elimine las cuentas compartidas

Una cuenta utilizada por varias personas destruye la trazabilidad. Si se modifica un presupuesto, se descarga una lista de clientes o se aprueba un pago, la empresa no puede atribuir la acción a una persona concreta. Además, cuando alguien deja la organización, cambiar la contraseña afecta al resto del equipo.

Hay excepciones técnicas, especialmente en algunos sistemas antiguos o cuentas de servicio. En esos casos, documente el propietario interno, limite el uso, almacene las credenciales en una solución adecuada y programe su sustitución. Tratar una excepción como si fuera una práctica normal es cómo se perpetúa el problema.

Active la autenticación multifactor donde importa

La autenticación multifactor debe ser obligatoria, como mínimo, para correo, Microsoft 365, acceso remoto, cuentas administrativas, banca y aplicaciones con datos de clientes. Una contraseña filtrada deja de ser suficiente para entrar si el atacante no puede superar el segundo factor.

No todos los métodos ofrecen el mismo nivel de protección. Los códigos por SMS son preferibles a no tener nada, pero una aplicación de autenticación o una llave de seguridad suele ofrecer mejor resistencia frente a fraudes de suplantación. La elección depende de las herramientas disponibles, el perfil de riesgo y la capacidad de adopción de la plantilla. Lo que no es razonable es mantener cuentas críticas protegidas solo con contraseña.

Separe las cuentas de administración

Quien administra Microsoft 365, servidores, copias de seguridad o sistemas de seguridad no debería utilizar la misma cuenta privilegiada para enviar correos y trabajar a diario. Si esa cuenta se compromete mediante un archivo malicioso o una página fraudulenta, el alcance del incidente puede ser mucho mayor.

La práctica recomendable es asignar una cuenta estándar para el trabajo cotidiano y otra, separada, para tareas administrativas. El acceso de administrador debe usarse solo cuando sea necesario, estar protegido con controles reforzados y quedar limitado al menor número posible de personas.

Controle altas, cambios y bajas con un proceso único

El mayor fallo de gestión ocurre cuando Recursos Humanos, responsables de área y tecnología trabajan sin un circuito definido. Una incorporación puede dejar al nuevo empleado sin las herramientas necesarias durante días. Una baja mal gestionada puede mantener acceso a correo, archivos y aplicaciones durante semanas.

Establezca un proceso con responsables y plazos: el área solicita, el responsable valida, la persona designada ejecuta y queda evidencia. Las bajas deben tratarse como prioridad operativa el mismo día de salida, especialmente si la persona tenía acceso financiero, comercial o administrativo. Los cambios de puesto requieren la misma atención: mover a alguien de ventas a operaciones no significa sumar permisos, sino revisar y retirar los que ya no corresponden.

Revise accesos con una frecuencia definida

Los permisos no se limpian solos. Programe revisiones trimestrales para accesos sensibles y, como mínimo, semestrales para el resto. Los propietarios de cada área deben confirmar que los usuarios y grupos siguen siendo correctos. Tecnología puede facilitar el informe, pero no puede decidir por sí sola quién necesita ver la información comercial o financiera.

La revisión debe incluir cuentas inactivas, usuarios externos, administradores, permisos en carpetas compartidas y licencias asignadas. Este último punto conecta seguridad y coste: una cuenta sin uso puede conservar acceso y, además, seguir generando una cuota mensual.

Proteja a proveedores y colaboradores externos

Un proveedor puede necesitar acceso temporal a una aplicación o a una carpeta de proyecto. No necesita una cuenta interna permanente ni permisos equivalentes a los de un empleado. Aplique acceso limitado, fecha de caducidad y un responsable interno que valide la necesidad.

Cuando un proveedor administra sistemas críticos, documente qué cuenta utiliza, qué permisos tiene, cómo se revoca el acceso y dónde queda la documentación técnica. Depender de una única persona externa sin visibilidad ni control de credenciales es un riesgo de continuidad, incluso aunque la relación sea buena.

Microsoft 365: el punto donde más se suele improvisar

Microsoft 365 concentra correo, documentos, reuniones, identidad y, en muchos casos, aplicaciones conectadas. Por eso una configuración débil tiene un alcance mayor del que parece. El primer paso es revisar quién tiene roles de administrador global y reducir esa lista al mínimo indispensable.

Después, conviene revisar grupos, sitios de SharePoint, equipos de Teams y permisos de OneDrive. Es habitual encontrar carpetas compartidas con toda la organización cuando solo las necesita un departamento, o enlaces de acceso externo que continúan activos meses después de terminar un proyecto. La colaboración externa puede ser necesaria, pero debe tener reglas claras, no depender de la memoria de cada usuario.

También revise las cuentas de servicio y las aplicaciones conectadas que han recibido permisos para leer correo, archivos o perfiles de usuario. Algunas se instalaron para resolver una necesidad puntual y nadie volvió a evaluarlas. Mantener solo las integraciones necesarias reduce superficie de exposición y simplifica el soporte.

Mida el control con indicadores sencillos

La gestión de accesos deja de ser una conversación abstracta cuando se mide. Dirección no necesita un panel técnico con cientos de alertas. Necesita indicadores que permitan decidir: número de cuentas administrativas, porcentaje de cuentas con autenticación multifactor, bajas ejecutadas dentro del plazo, cuentas inactivas pendientes de cierre y accesos externos activos.

También conviene medir el tiempo necesario para dar de alta a una persona con todo lo que necesita. Seguridad y productividad no tienen por qué competir. Si el proceso está definido, una incorporación puede completarse rápido, con aprobaciones claras y sin conceder permisos excesivos por presión.

Si su empresa no puede responder en menos de una hora quién administra sus sistemas críticos, qué antiguos empleados siguen teniendo cuentas o qué proveedor accede a datos sensibles, no necesita más urgencia técnica: necesita orden. Una revisión estructurada de accesos convierte ese desorden en decisiones concretas, con responsables, plazos y evidencia. Ese es el punto de partida para crecer sin dejar el control en manos de la improvisación.