El permiso que nadie revisa termina siendo la puerta más cara

El riesgo suele parecer normal. Una contraseña compartida, un excolaborador con acceso o una aplicación conectada hace años no generan alarma mientras todo funciona. Esa normalidad es precisamente el problema. Los permisos se acumulan porque resulta más fácil conceder que revisar. Con el tiempo, nadie recuerda por qué existen ni quién los utiliza. La seguridad deja de depender de una gran amenaza externa y empieza a fallar por decisiones pequeñas que nunca fueron cerradas después de cumplir su propósito.

El inventario devuelve control. El negocio debería saber qué cuentas principales existen, quién es propietario, qué personas tienen acceso y qué herramientas están conectadas. No se necesita un sistema complejo para comenzar. Una lista mensual puede incluir correo, redes, dominios, almacenamiento, pagos, CRM, publicidad y automatizaciones. También conviene identificar accesos críticos que dependen de una sola persona. El inventario permite descubrir duplicados, cuentas abandonadas y servicios que siguen recibiendo información sin una razón vigente.

Compartir credenciales destruye trazabilidad. Cuando varias personas usan la misma cuenta, resulta difícil saber quién realizó un cambio y retirar acceso sin afectar a todos. Siempre que sea posible, cada persona debe utilizar su propio usuario y un rol acorde con su trabajo. La autenticación adicional reduce el impacto de una contraseña filtrada. También es importante conservar códigos de recuperación y propietarios institucionales, para que la continuidad no dependa del teléfono o correo personal de un colaborador.

Los permisos deben tener fecha de revisión. Un acceso temporal suele convertirse en permanente porque nadie programa su cierre. Cada incorporación, cambio de función o salida debería activar una revisión. Lo mismo aplica a proveedores y aplicaciones externas. Si una herramienta ya no se utiliza, debe desconectarse. Si un colaborador solo necesita consultar, no debería administrar. Esta rutina no elimina todos los riesgos, pero reduce la cantidad de puertas abiertas y facilita responder cuando aparece una actividad sospechosa.

La respuesta necesita un plan breve. El equipo debe saber a quién avisar, qué cuentas proteger primero, dónde están las copias y cómo comunicar una interrupción. Intentar decidir todo durante una crisis aumenta errores. Un documento de una página con contactos, prioridades y pasos iniciales puede ser suficiente para ganar tiempo. También conviene probar la recuperación de cuentas y archivos. Una copia que nunca se restauró es una promesa, no una garantía de continuidad.

La acción práctica es revisar esta semana cinco activos críticos y responder cuatro preguntas para cada uno: quién es propietario, quién accede, qué método protege la cuenta y cuándo se revisó por última vez. Después se corrigen los accesos más evidentes y se programa una revisión periódica. La seguridad mejora cuando forma parte de la operación normal, no cuando aparece únicamente después de una pérdida, un bloqueo o una comunicación enviada desde la cuenta equivocada.