Cómo proteger cuentas administrativas en su pyme

Un atacante no necesita entrar en todos sus sistemas para paralizar una empresa. Le basta con una cuenta con privilegios: la del administrador de Microsoft 365, quien gestiona el firewall, accede a las copias de seguridad o autoriza pagos. Por eso, proteger cuentas administrativas no es una tarea aislada de informática. Es una decisión de continuidad operativa, control financiero y responsabilidad directiva.

En muchas PYMES, el problema no es la ausencia total de controles. Es la acumulación de excepciones: una contraseña compartida con el proveedor, un antiguo empleado que conserva permisos, una cuenta global utilizada para el trabajo diario o una licencia de administrador asignada "por si acaso". Cada excepción parece menor hasta que ocurre un fraude, un borrado masivo de información o un secuestro de cuentas.

La buena noticia es que no hace falta convertir a la dirección en experta en ciberseguridad. Hace falta ordenar decisiones, definir responsables y aplicar controles proporcionales al negocio.

Qué es una cuenta administrativa y por qué cambia el riesgo

Una cuenta administrativa permite modificar configuraciones críticas, crear usuarios, asignar permisos, instalar software, desactivar protecciones, restaurar información o acceder a datos sensibles. No todas tienen el mismo alcance, pero todas merecen una revisión.

En una empresa de 50 a 200 empleados, suelen existir privilegios administrativos en Microsoft 365, ordenadores y servidores, redes Wi-Fi y firewalls, plataformas de backup, ERP, CRM, nóminas, banca electrónica y herramientas SaaS contratadas por distintos departamentos. El riesgo aumenta cuando nadie mantiene un inventario consolidado.

El error habitual es pensar que un administrador es solo el responsable de sistemas. En realidad, también puede ser una cuenta técnica creada por un proveedor, un usuario de finanzas con permisos de aprobación o una identidad de servicio conectada a una aplicación. Si esa cuenta cae en manos equivocadas, el atacante no necesita vulnerar cada sistema por separado: puede abrirse camino desde una posición de confianza.

El objetivo no es eliminar privilegios, sino controlarlos

Una política razonable no consiste en quitar accesos indiscriminadamente. Operaciones necesita responder a incidencias, finanzas necesita ejecutar procesos de pago y un proveedor puede requerir acceso temporal para mantener una plataforma. La cuestión es si cada privilegio tiene una razón de negocio, un responsable y una fecha de revisión.

La regla más útil es sencilla: cada persona debe utilizar una cuenta estándar para trabajar y una cuenta independiente, protegida y limitada para tareas administrativas. Un administrador global no debería leer correos, navegar por internet, descargar adjuntos ni conectarse a aplicaciones de uso diario con esa identidad.

Separar ambas cuentas reduce la exposición. Si el usuario cotidiano cae en un intento de phishing, el impacto potencial es menor. No elimina el riesgo, pero evita que un clic erróneo se convierta automáticamente en control total del entorno.

Las seis preguntas que debe poder responder dirección

Antes de comprar otra herramienta de seguridad, la empresa debería poder responder con precisión a estas preguntas:

• ¿Qué cuentas tienen privilegios administrativos y en qué sistemas?
• ¿Quién es el responsable interno de autorizar cada acceso?
• ¿Qué proveedores conservan permisos y para qué los necesitan?
• ¿Todas las cuentas privilegiadas utilizan autenticación multifactor?
• ¿Cuándo se revisaron por última vez esos permisos?
• ¿Podemos recuperar el control si una cuenta administrativa queda comprometida?

Si estas respuestas dependen de la memoria de una sola persona o de una conversación antigua por WhatsApp, no existe control. Existe dependencia operativa.

Un plan de 30 días para proteger cuentas administrativas

No intente resolverlo todo en una reunión. El enfoque correcto es avanzar por capas, empezando por los accesos que pueden detener la operación o generar una pérdida financiera relevante.

Semana 1: inventario y eliminación de accesos obvios

El primer entregable debe ser un listado de cuentas administrativas por sistema, titular, nivel de acceso, responsable interno y proveedor relacionado. Conviene incluir Microsoft 365, backup, firewall, dominios web, banca, ERP, CRM y cualquier plataforma que gestione datos de clientes o empleados.

Después, elimine cuentas de ex empleados, usuarios genéricos sin propietario y permisos que nadie pueda justificar. También identifique credenciales compartidas. Una cuenta llamada “admin”, usada por varias personas, impide saber quién realizó un cambio y complica cualquier investigación posterior.

No borre accesos críticos sin validar el proceso operativo. En empresas con sistemas antiguos, una cuenta aparentemente inactiva puede sostener una integración. La alternativa es documentarla, asignarle responsable y planificar su sustitución. Seguridad sin comprensión del negocio puede generar una interrupción evitable.

Semana 2: multifactor, contraseñas y cuentas separadas

Active autenticación multifactor para todas las cuentas administrativas, sin excepciones permanentes. Una contraseña larga sigue siendo necesaria, pero por sí sola ya no protege frente a phishing, reutilización de credenciales o filtraciones externas.

Cuando sea posible, priorice aplicaciones autenticadoras o llaves de seguridad frente a códigos SMS. El SMS puede ser suficiente como medida transitoria, pero es más vulnerable a fraudes de duplicación de SIM y a la ingeniería social. Para cuentas de máximo privilegio, la exigencia debe ser mayor.

Cree cuentas administrativas separadas para el personal técnico. Establezca convenciones claras de nombre y evite que los administradores globales se utilicen para funciones que pueden resolverse con permisos delegados. En Microsoft 365, por ejemplo, no todos los administradores necesitan el nivel más alto.

Semana 3: mínimo privilegio y accesos de proveedores

El principio de mínimo privilegio significa conceder solo el acceso necesario, durante el tiempo necesario. Es menos cómodo que otorgar permisos amplios, pero reduce de forma directa el radio de daño de un error o una intrusión.

Revise especialmente los accesos externos. Un proveedor serio no debería exigir una cuenta compartida ni privilegios globales permanentes para resolver cualquier solicitud. Debe existir una cuenta nominativa, acceso limitado al servicio contratado, registro de actividad y un mecanismo para retirar permisos al finalizar el trabajo.

Si su empresa depende de un proveedor para administrar Microsoft 365, backup o red, asegúrese de que la titularidad de las cuentas principales y los métodos de recuperación pertenecen a la empresa. Delegar la operación no implica ceder el control. Esta diferencia evita el encierro con un proveedor y permite cambiar de soporte sin perder acceso a activos críticos.

Semana 4: recuperación, alertas y revisión periódica

Una cuenta administrativa puede ser comprometida incluso con buenas medidas preventivas. Por eso necesita un plan de recuperación probado: quién puede bloquear una cuenta, restablecer credenciales, revocar sesiones activas y recuperar el acceso si falla el segundo factor.

Designe al menos dos responsables internos para las cuentas críticas, con un procedimiento documentado y custodia segura de la información de recuperación. Depender de un único director, de un técnico externo o de un teléfono personal es una vulnerabilidad de negocio.

Active alertas para eventos relevantes: creación de nuevos administradores, cambios de reglas de correo, desactivación de multifactor, accesos desde ubicaciones inusuales y modificaciones en políticas de seguridad. No es necesario revisar cada registro técnico a diario. Sí es necesario que alguien reciba y atienda las señales que anticipan un incidente.

Dónde suelen fallar las empresas

El fallo más costoso no suele ser técnico, sino de gobierno. Se compra una licencia de seguridad, se activa parcialmente y nadie valida si protege las cuentas con mayor privilegio. O se implementa multifactor, pero se mantienen métodos de recuperación inseguros y excepciones permanentes para directivos o proveedores.

También es frecuente confundir backup con recuperación completa. Tener una copia de archivos no garantiza que pueda recuperar usuarios, configuraciones, permisos, correo o sistemas críticos tras una intrusión administrativa. La pregunta correcta es: ¿cuánto tardaría la empresa en volver a operar y qué parte del proceso depende de una cuenta privilegiada?

Otro punto sensible es la salida de empleados. Recursos Humanos, dirección y tecnología deben compartir un procedimiento de baja que retire accesos el mismo día, no cuando “haya tiempo”. Esto incluye aplicaciones adquiridas fuera de TI, cuentas de redes sociales, dominios, plataformas de publicidad y herramientas de facturación.

Cómo medir si el control funciona

La dirección no necesita un informe técnico de cien páginas. Necesita indicadores simples y revisables: porcentaje de cuentas administrativas con MFA, número de administradores globales, accesos de proveedores sin fecha de caducidad, cuentas compartidas pendientes de eliminar y tiempo estimado de recuperación de servicios críticos.

Una revisión trimestral suele ser suficiente para la mayoría de PYMES, siempre que las altas, bajas y cambios de proveedor se gestionen de forma continua. Empresas con información sanitaria, pagos frecuentes o requisitos regulatorios pueden necesitar controles más estrictos y una revisión mensual.

Proteger accesos privilegiados exige disciplina, no dramatismo. Empiece por saber quién puede cambiar qué, elimine privilegios sin dueño y asegure que la empresa conserva el control de sus cuentas críticas. El día que un incidente ocurra, esa claridad valdrá más que cualquier promesa genérica de seguridad.