Tu primera política de contraseñas y accesos

Durante 2021, una ola de ataques de ransomware sacudió a empresas de todos los tamaños alrededor del mundo. Los titulares se llevaron a las grandes corporaciones, pero el aprendizaje más útil fue silencioso y muy cercano a cualquier pyme: la mayoría de esos ataques no empezó con un hacker genial rompiendo sistemas, sino con algo mucho más simple. Una contraseña reutilizada, un acceso que nunca se dio de baja, una cuenta compartida entre varias personas. La puerta estaba abierta y nadie se había dado cuenta.

Si tu empresa todavía no tiene una política de contraseñas y accesos, no estás solo. Muchos negocios crecen primero y ordenan después, y eso está bien. Pero hay un momento en que «todos usan la misma clave del correo» deja de ser práctico y se vuelve un riesgo real para tus datos, tus procesos y tu historial. La buena noticia es que empezar no requiere un departamento de sistemas ni una inversión enorme. Requiere claridad sobre una pregunta muy concreta: quién entra a qué, y cómo cortar ese acceso rápido cuando haga falta.

Empieza por lo que ya tienes: haz tu inventario de accesos

Antes de crear reglas, conviene ver el mapa completo. Muchas pymes se sorprenden al descubrir cuántas puertas de entrada tienen abiertas sin recordarlo. Dedica un rato a listar, sin tecnicismos, todo lo que pide una clave para entrar:

• Cuentas de correo y sus reenvíos. Es el llavero maestro: quien controla el correo puede recuperar casi cualquier otra contraseña.
• Sistemas del negocio. Punto de venta, facturación, banca en línea, CRM, panel de tu página web.
• Redes sociales y herramientas de marketing. Suelen quedar «prestadas» a proveedores que ya no trabajan contigo.
• Accesos de exempleados. El clásico: la persona ya no está, pero su usuario sigue vivo.
• Cuentas compartidas. Ese usuario que «usamos todos» y del que nadie sabe la contraseña completa.

Con ese inventario en la mano, ya no estás adivinando. Estás tomando decisiones con información confiable, que es justo por donde debe empezar cualquier orden.

Reglas simples que sí se cumplen

Una política sirve solo si tu equipo puede seguirla sin frustrarse. No se trata de exigir contraseñas imposibles de recordar, sino de eliminar las costumbres que abren la puerta. Con unas pocas reglas claras avanzas muchísimo:

• Una contraseña por persona, no por puesto. Cada quien con su usuario. Así sabes quién hizo qué y puedes cortar un acceso sin afectar a los demás.
• Contraseñas largas y únicas. Una frase fácil de recordar y difícil de adivinar vale más que un jeroglífico. Y nunca la misma clave para dos servicios distintos.
• Un gestor de contraseñas para el equipo. Deja de anotarlas en notas o en un Excel. Un gestor las guarda cifradas y permite compartir sin revelar.
• Segundo factor donde se pueda. El correo y la banca lo permiten sin costo. Es la diferencia entre una puerta con un candado y una con dos.
• Accesos por rol. Cada persona entra solo a lo que necesita para su trabajo, ni más ni menos.

Una buena política de accesos no busca desconfiar de tu gente: busca proteger a tu gente y a tu negocio de un descuido que le puede pasar a cualquiera.

Lo más importante: poder cortar el acceso rápido

El ángulo que muchas veces se olvida no es cómo se entra, sino qué tan rápido puedes cerrar la puerta. Cuando alguien deja la empresa, cuando pierde su teléfono o cuando sospechas de un movimiento raro, cada hora cuenta. Ahí es donde una política ordenada demuestra su valor: si sabes exactamente qué accesos tiene cada persona, darlos de baja toma minutos, no días de estar recordando «¿a qué más tenía entrada?».

Por eso conviene que la baja de accesos sea parte de tu proceso, igual que lo es dar de alta a alguien nuevo. Una lista de verificación breve —desactivar correo, quitar del gestor, revocar el segundo factor, cambiar claves compartidas— convierte un momento tenso en un trámite controlado.

Tu política en tres pasos

Si nada de esto existe todavía en tu empresa, no intentes resolverlo todo en un día. Divídelo en metas cortas y verificables:

• Esta semana: haz el inventario de accesos y da de baja lo que ya no debería existir (exempleados, proveedores viejos).
• Este mes: activa el segundo factor en tu correo y tu banca, y prueba un gestor de contraseñas con un grupo pequeño.
• En cuanto puedas: escribe tu política en una sola página, en lenguaje claro, y compártela con tu equipo. Que sea corta y entendible vale más que un manual que nadie lee.

Ordenar los accesos no tiene por qué frenar tu operación. En Normandia Web acompañamos a pymes mexicanas a hacerlo con software a la medida y procesos sencillos que tu equipo sí adopta, cuidando siempre tus datos, tus procesos y tu historial. La seguridad no es un lujo de las grandes empresas: es una forma de proteger el trabajo de todos. Y como viste, tu primera política de contraseñas y accesos empieza con algo tan simple como una lista y una decisión clara. Si quieres, conversemos y la diseñamos juntos.