Las pequeñas empresas suelen incorporar aplicaciones cloud de forma gradual: correo, CRM, facturación, almacenamiento, proyectos y soporte. Cada nueva herramienta facilita el trabajo, pero también crea usuarios, contraseñas y permisos. Cuando una persona cambia de función o un proveedor termina su colaboración, esos accesos pueden permanecer activos. Revisarlos periódicamente es una medida de seguridad práctica, incluso sin un departamento informático propio.
Inventario antes de tocar permisos
El primer paso es elaborar una relación de aplicaciones utilizadas, propietario interno, administrador principal y tipos de información almacenada. No basta con enumerar las suscripciones que aparecen en la tarjeta bancaria: puede haber servicios gratuitos y cuentas personales que gestionan información de la empresa. Para cada aplicación, registra qué equipos la usan y si permite exportar la lista de usuarios. Este inventario sirve de base para una revisión repetible y para planificar sustituciones.
Aplicar el mínimo privilegio
La Agencia de Ciberseguridad de Cataluña explica la gestión de identidades y los riesgos de cuentas inactivas y permisos excesivos. La regla práctica es conceder únicamente el acceso necesario para realizar una función. Un comercial no tiene por qué administrar integraciones bancarias; una persona externa que revisa contenidos no necesita descargar la base completa de clientes. Los permisos deben diseñarse por rol y ajustarse cuando cambian las responsabilidades.
Bajas, cambios y cuentas de proveedores
El procedimiento de salida de personal debería incluir un inventario de aplicaciones, revocación de sesiones, cambio de responsables de documentos y retirada de accesos delegados. También conviene revisar cuentas técnicas y tokens de integración que siguen activos tras cancelar un proyecto. Un CRM con datos duplicados puede dificultar la asignación de responsabilidades; la guía sobre depuración de clientes en CRM aporta criterios para mantener registros trazables.
Cómo ejecutar la revisión trimestral
Exporta usuarios y roles, compáralos con la plantilla y con el registro de proveedores vigentes, y envía las excepciones al responsable de cada área. Clasifica las decisiones en mantener, reducir, suspender o eliminar acceso. Después registra fecha, aprobador y evidencia de ejecución. No es necesario esperar a que termine el trimestre para desactivar una cuenta de riesgo: la baja de accesos debe ser inmediata cuando corresponda.
No olvidar copias y recuperación
La pérdida de una cuenta administrativa puede afectar a la recuperación del servicio. Por eso deben existir responsables alternativos, mecanismos de recuperación y copias probadas. La guía sobre recuperación tras incidentes explica cómo organizar la continuidad. También conviene revisar qué accesos pueden borrar copias o modificar las políticas de retención.
Qué medir y qué no
Los indicadores útiles son número de cuentas inactivas, usuarios con rol administrador, accesos externos pendientes de revisión y tiempo de retirada tras una baja. Evita convertir la auditoría en un ejercicio de marcar casillas: cada excepción necesita una decisión concreta. El mismo criterio de responsabilidad documentada puede aplicarse al alta de proveedores, al control de cambios de alcance y al seguimiento de cobros, aunque sean procesos distintos.
Resultado esperado
Al terminar, la empresa debe saber quién accede a cada sistema crítico, por qué lo necesita y quién aprobó el permiso. La documentación puede ser sencilla, pero debe estar actualizada, protegida y disponible cuando se produzca una incidencia o una auditoría.
Revisar integraciones entre aplicaciones
Además de los usuarios humanos, conviene revisar las conexiones de servicio entre CRM, tienda y ERP. Una integración antigua puede conservar un token con acceso a pedidos o datos de clientes. El análisis de integraciones entre ecommerce y ERP ayuda a identificar flujos de datos que requieren permisos delimitados y una persona responsable de su mantenimiento. Documentar esos accesos técnicos completa la revisión de usuarios.
