Checklist para inventariar y priorizar las cuentas de acceso en una pyme

Gestionar los accesos no consiste solo en elegir contraseñas seguras: implica saber quién tiene una cuenta, cómo demuestra su identidad, qué puede hacer y cómo se retira su acceso cuando cambia su relación con la empresa. Para una pyme, empezar por estas preguntas permite ordenar los controles sin confundirlos con un inventario general de aplicaciones o con una evaluación de proveedores.

El objetivo es convertir la gestión de identidades y accesos —conocida como IAM— en un proceso que cubra todo el ciclo de vida de cada cuenta: alta, cambios de permisos, revisiones y baja. Este checklist sirve como guía operativa; no sustituye una evaluación de riesgos ni determina por sí solo el cumplimiento normativo.

1. Identificar las cuentas y asignar responsables

Antes de decidir quién necesita acceso, reúne en un inventario las identidades y cuentas que ya existen. No te limites a las de empleados: contempla también a contratistas, proveedores y otras personas externas con acceso a sistemas de la empresa.

Para cada cuenta, registra, como mínimo:

• Persona o identidad asociada y su relación con la empresa.
• Sistema o servicio al que accede.
• Función de la cuenta y nivel de permisos.
• Responsable interno que autoriza o revisa ese acceso.
• Estado: activa, temporal o pendiente de baja.

Relacionar las cuentas con una persona o identidad ayuda a localizar cuentas huérfanas —sin un responsable claro— y a evitar que los accesos sobrevivan a un cambio de puesto o al fin de un contrato. Si hay cuentas compartidas, anota quiénes las utilizan y quién responde por ellas; cuando sea viable, prioriza cuentas individuales para mejorar la trazabilidad.

2. Priorizar las cuentas que pueden abrir más puertas

No todas las cuentas requieren el mismo orden de revisión. Empieza por las que controlan otros accesos o permiten llegar a información y sistemas sensibles:

• Administración de sistemas, dispositivos, redes o plataformas en la nube.
• Correo electrónico, que puede intervenir en restablecimientos de contraseñas y acceso a documentos.
• Finanzas, por el acceso a operaciones e información financiera.
• Acceso remoto y almacenamiento en la nube.
• Cuentas con acceso a datos sensibles o a herramientas de seguridad y copias de respaldo.

La prioridad es una forma de ordenar el trabajo, no una garantía de que las demás cuentas carezcan de riesgo. Incluye también las identidades de proveedores y contratistas, y comprueba si su acceso sigue siendo necesario y quién dentro de la empresa lo patrocina.

3. Comprobar cómo se autentica cada identidad

La autenticación verifica que quien inicia sesión es quien afirma ser. Para las cuentas de mayor impacto, habilita autenticación multifactor (MFA) siempre que el servicio lo permita. Las fuentes destacan en particular el correo, las cuentas administrativas, el acceso remoto, las finanzas y los recursos en la nube o con datos sensibles.

El inventario debería dejar constancia de qué método de autenticación protege cada cuenta y señalar las cuentas críticas que aún no cuentan con MFA. Así, la empresa puede identificar brechas concretas y dar prioridad a su corrección. MFA refuerza la verificación, pero no reemplaza la revisión de permisos ni el proceso de baja.

4. Revisar qué puede hacer cada cuenta

La autorización define qué acciones puede realizar una persona una vez dentro. Revisa si los permisos corresponden a sus tareas actuales y elimina los que ya no necesita. Aplicar el principio de mínimo privilegio significa conceder solo el acceso necesario para el trabajo, en lugar de mantener permisos amplios por comodidad.

Cuando los puestos y responsabilidades lo permitan, el control de acceso basado en roles (RBAC) ayuda a asignar permisos según funciones definidas. Comprueba que los roles reflejen las responsabilidades reales y revisa las excepciones: un cambio de puesto, una tarea temporal o un proyecto pueden justificar un ajuste, pero no necesariamente un permiso permanente.

Presta especial atención a las cuentas privilegiadas. Registra quién puede usarlas, para qué sistemas y con qué justificación; evita que esos derechos queden asociados a personas que ya no desempeñan la función correspondiente. Si una tarea solo requiere elevar privilegios durante un periodo limitado, valora que el acceso sea temporal cuando los sistemas y procesos de la empresa lo permitan.

5. Establecer un proceso de alta, cambio y baja

Un control de acceso puntual pierde eficacia si no se actualiza cuando cambian las personas o sus funciones. Define quién comunica y quién ejecuta cada paso en estas situaciones:

1. Alta: autorizar la cuenta y los permisos necesarios para la función.
2. Cambio: revisar los accesos cuando alguien cambia de puesto, asume otras tareas o deja un proyecto.
3. Baja: desactivar o retirar las cuentas cuando termina la relación laboral o contractual, y revocar los accesos que ya no corresponden.

Incluye en el proceso las cuentas de terceros y las sesiones activas cuando sea pertinente. Las responsabilidades y los plazos concretos dependerán de la operativa de cada empresa; las fuentes disponibles no establecen un plazo universal para ejecutar las bajas.

6. Programar revisiones y conservar trazabilidad

Asigna a una persona responsable de revisar periódicamente el inventario y confirmar que las cuentas, los permisos y sus propietarios siguen siendo correctos. La frecuencia puede definirse según la criticidad de los accesos y la capacidad de la empresa, pero debe quedar establecido cuándo se revisa y quién resuelve las discrepancias.

Conserva registros de las altas, modificaciones, aprobaciones y bajas, además de la actividad disponible en los sistemas. Esa trazabilidad permite reconstruir quién tenía acceso y qué cambios se realizaron. También puede facilitar auditorías y apoyar la gestión de requisitos aplicables, aunque mantener registros o implementar IAM no demuestra por sí solo el cumplimiento de una norma.

Checklist operativo

• Existe un inventario de cuentas vinculado a personas o identidades.
• Cada cuenta tiene un sistema asociado y un responsable interno.
• Están identificadas las cuentas administrativas, de correo, finanzas, acceso remoto y datos sensibles.
• Se conoce qué método de autenticación protege cada cuenta crítica.
• MFA está habilitado para las cuentas prioritarias cuando el servicio lo permite.
• Los permisos corresponden a las funciones actuales y se limitan a lo necesario.
• Las cuentas privilegiadas tienen propietario y uso justificado.
• Hay un proceso para altas, cambios de puesto o tarea, y bajas de empleados y terceros.
• Se revisan periódicamente cuentas, permisos y accesos de proveedores.
• Se conservan registros suficientes para identificar cambios y responsables.

Un proceso continuo, no una limpieza puntual

La gestión de accesos funciona como una cadena: identidad, autenticación, autorización y revocación. Si una de esas partes queda desatendida, pueden persistir cuentas sin dueño, permisos excesivos o accesos que ya no hacen falta. Para una pyme, un inventario con responsables, prioridades claras y revisiones periódicas ofrece una base práctica para mantener ese ciclo bajo control.

Normas y marcos como NIS2 e ISO 27001 pueden contemplar requisitos relacionados con la seguridad y la gestión de accesos. Su aplicación concreta depende del ámbito, la entidad y los requisitos pertinentes; este checklist no es una interpretación jurídica ni una declaración de cumplimiento.