Cómo organizar los permisos de acceso a las herramientas digitales de una pyme
Cuando varias personas usan el correo, el almacenamiento en la nube, el CRM o las redes sociales de una empresa, conviene decidir quién puede acceder a cada herramienta y con qué permisos. Una revisión sencilla —y periódica— ayuda a evitar accesos innecesarios y cuentas olvidadas sin complicar el trabajo diario.
- Asigna a cada persona solo los permisos que necesita para sus tareas.
- Activa la autenticación multifactor cuando el servicio la ofrezca.
- Revisa los accesos al incorporar, cambiar de función o dar de baja a alguien.
Empieza por saber qué cuentas existen
Antes de cambiar permisos, prepara un inventario de las herramientas que utiliza el negocio: correo, web, alojamiento, gestor de contraseñas, facturación, CRM, almacenamiento y perfiles sociales. Anota quién administra cada servicio, qué personas tienen acceso y cómo se recupera la cuenta si su responsable no está disponible. No guardes contraseñas en una hoja compartida: registra el método de custodia, no el secreto.
Comprueba también si cada persona usa una cuenta propia o si el equipo comparte un único usuario. Siempre que la plataforma lo permita, utiliza accesos individuales: así es más fácil retirar el acceso de alguien sin cambiar las credenciales de todo el equipo y distinguir quién ha realizado una acción.
Asigna permisos según la tarea
Aplica el principio de mínimo privilegio: cada usuario debería tener únicamente los permisos necesarios para desempeñar sus funciones. NIST describe este principio como limitar los accesos a los necesarios para las tareas asignadas. La definición de NIST puede servir como referencia general, aunque no sustituye a una evaluación de seguridad específica.
Por ejemplo, quien redacta publicaciones quizá necesite crear borradores, pero no administrar usuarios ni modificar la configuración de seguridad. La persona responsable de la web puede necesitar permisos de edición; reservar la administración para quien gestiona usuarios, ajustes y accesos reduce cambios accidentales. Los nombres de los roles varían entre servicios: revisa qué permite cada uno antes de asignarlo.
Para cuentas con capacidad de cambiar ajustes, gestionar pagos o añadir usuarios, identifica a las personas autorizadas y limita su uso a esas tareas. Cuando el servicio lo permita, activa la autenticación multifactor. CISA la recomienda a pequeñas y medianas empresas como una capa adicional para proteger las cuentas. Consulta sus recomendaciones sobre autenticación multifactor.
Establece un proceso para altas, cambios y bajas
Define una lista breve de comprobación que se use cada vez que alguien se incorpora, cambia de puesto o deja de colaborar. Un proceso puede ser así:
- El responsable solicita los accesos indicando la herramienta y la tarea que debe realizarse.
- Una persona autorizada asigna el rol mínimo adecuado y comprueba que la cuenta funciona.
- Ante un cambio de funciones, se revisan los permisos anteriores y se retiran los que ya no hagan falta.
- Al finalizar la colaboración, se desactiva o elimina el acceso y se revisan las sesiones y credenciales compartidas que puedan seguir vigentes.
Ejemplo: una persona de marketing necesita preparar publicaciones y consultar resultados, pero no gestionar la facturación ni administrar las cuentas del negocio. Asígnale el rol disponible que cubra esas funciones, comprueba sus límites y deja constancia de quién autorizó el acceso.
Límites y revisión periódica
Un inventario no garantiza por sí solo la seguridad: también importan las opciones de recuperación, los dispositivos, las contraseñas y la configuración de cada proveedor. La frecuencia de revisión dependerá del tamaño del equipo y de la sensibilidad de la información; como mínimo, revisa los accesos cuando cambien las funciones o termine una colaboración. No confíes únicamente en recordar quién tenía permiso.
Si la gestión manual se repite en varios servicios, puede tener sentido estudiar una automatización del proceso, sin dar por hecho que eliminará todos los riesgos. Online Managers explica sus servicios de automatización; cualquier cambio de permisos debe conservar una revisión y autorización humana.
Preguntas frecuentes
¿Conviene compartir una cuenta entre varias personas?
Si la plataforma ofrece usuarios individuales, suele ser más fácil gestionar permisos y retirar accesos con cuentas separadas. Sigue las condiciones y opciones disponibles en cada servicio.
¿Quién debería tener permisos de administrador?
Solo las personas que necesiten gestionar usuarios o ajustes administrativos. Revisa qué acciones incluye ese rol antes de asignarlo.
¿Qué hago si alguien cambia de puesto?
Revisa sus permisos anteriores y elimina los que ya no necesite; después, concede únicamente los nuevos accesos requeridos.
¿La autenticación multifactor sustituye a revisar permisos?
No. Añade una capa de protección al inicio de sesión, pero no limita por sí sola qué puede hacer una cuenta una vez autorizada.