Cómo controlar quién tiene acceso a los sistemas de la empresa

En muchas pequeñas empresas, el acceso a los sistemas crece de forma desordenada. Un empleado recibe permisos de administrador para instalar un programa y los conserva años después. Un antiguo colaborador todavía tiene la cuenta de correo activa. Todos usan la misma contraseña para entrar en el sistema financiero. Ninguna de estas situaciones parece grave por separado, pero juntas amplían mucho el impacto de una contraseña filtrada o de un equipo comprometido.

Por qué importa el control de acceso

Gran parte de los incidentes implica, en algún momento, el uso de una credencial legítima: una contraseña obtenida mediante una estafa de phishing, reutilizada de otro servicio o simplemente débil. Cuando eso ocurre, lo que el atacante puede hacer depende de los accesos de esa cuenta.

Una cuenta con acceso restringido limita el daño. Una cuenta de administrador, usada a diario para leer el correo y navegar, puede entregar el control de todo el entorno. Este control existe para reducir ese impacto y es uno de los cinco controles técnicos del esquema británico Cyber Essentials.

Principios básicos

Una cuenta por persona

Cada usuario debe tener su propia cuenta, con contraseña individual. Los inicios de sesión compartidos impiden saber quién hizo qué y dificultan retirar el acceso a una persona sin afectar a las demás.

Mínimo privilegio

Cada persona debe tener acceso únicamente a lo que necesita para su función. El equipo comercial no necesita acceder a las nóminas; el becario no necesita permisos para instalar programas.

Cuentas administrativas separadas

Quien necesite privilegios de administrador debe tener dos cuentas: una normal, para el trabajo diario, y otra administrativa, utilizada exclusivamente para tareas de administración. Esta cuenta no debe usarse para leer el correo ni navegar por internet, precisamente las actividades en las que el riesgo de contacto con contenido malicioso es mayor.

Autenticación: contraseñas y multifactor

Las contraseñas siguen siendo la forma de autenticación más común, y su calidad marca la diferencia. Algunas orientaciones prácticas:

Preferir contraseñas largas, como frases, a combinaciones cortas y complejas difíciles de recordar.
No reutilizar la contraseña corporativa en otros servicios.
Adoptar un gestor de contraseñas para facilitar el uso de contraseñas distintas.
Cambiar de inmediato todas las contraseñas predeterminadas de sistemas y dispositivos.
Limitar los intentos de inicio de sesión o aplicar un bloqueo temporal tras errores repetidos.

La autenticación multifactor (MFA) añade una segunda verificación, como un código en una aplicación o una llave física. Aunque se descubra la contraseña, el acceso depende de algo que el atacante normalmente no tiene. Cyber Essentials exige MFA en los servicios en la nube, como el correo corporativo, el almacenamiento de archivos y los sistemas de gestión a los que se accede por internet.

En la práctica: si la empresa solo puede hacer una cosa ahora, activar la autenticación multifactor en el correo corporativo es una de las medidas con mejor relación entre esfuerzo y reducción del riesgo. El correo suele ser la puerta de entrada para restablecer las contraseñas de casi todos los demás servicios.

Ciclo de vida de las cuentas

El control de acceso no termina con la creación de la cuenta. Debe acompañar la trayectoria de cada persona en la empresa:

Incorporación: crear la cuenta con los accesos necesarios para la función, y nada más.
Cambio de función: revisar los accesos y retirar lo que ya no sea necesario. La acumulación de permisos con el tiempo es un problema frecuente.
Salida: eliminar o desactivar las cuentas en cuanto la persona deja la empresa, incluidos los servicios en la nube y los sistemas de terceros.

Las cuentas que ya no se usan, incluidas las de proveedores, pruebas o proyectos antiguos, también deben eliminarse o desactivarse. Una revisión periódica, trimestral o semestral, ayuda a detectar estos casos. Conviene integrar este proceso con Recursos Humanos, para que el área de TI reciba aviso cada vez que haya una incorporación, un traslado o una baja.

Relación con el RGPD

Restringir el acceso a los datos personales solo a quienes los necesitan es una de las formas más concretas de aplicar las medidas de seguridad adecuadas que exige el artículo 32 del Reglamento General de Protección de Datos (RGPD). Un buen control de acceso reduce el número de personas y sistemas implicados en una eventual brecha de datos personales, tema que se analiza en ciberseguridad y RGPD. También es uno de los pilares descritos en los cinco controles básicos de ciberseguridad.

Lista de comprobación

Cada persona tiene su propia cuenta, sin inicios de sesión compartidos.
Las cuentas de administrador están separadas y se usan solo para administración.
Autenticación multifactor activa en el correo y en los demás servicios en la nube.
Se han cambiado las contraseñas predeterminadas de sistemas y dispositivos.
Las cuentas de antiguos empleados y las cuentas sin uso se eliminan o desactivan.
Los accesos se revisan periódicamente, con el apoyo de Recursos Humanos.