Gestión de accesos: el empleado que se va y la cuenta que se queda

Hay una vulnerabilidad que casi todas las empresas tienen y casi ninguna vigila: las cuentas de gente que ya no está. El empleado que se fue hace ocho meses cuya cuenta de correo sigue activa. El proveedor con el que ya no trabajas pero que mantiene acceso a tu sistema. El becario del verano pasado. Cada uno es una puerta abierta que nadie recuerda haber dejado así.

El ciclo de vida del acceso

Un acceso tiene tres momentos: se crea cuando alguien entra, se ajusta cuando cambia de función y se retira cuando se va. La mayoría de las empresas gestionan bien el primero —dar acceso es urgente— y descuidan el último, porque retirar acceso no le corre prisa a nadie. Ahí se acumulan los agujeros.

Por qué las cuentas huérfanas son tan peligrosas

Una cuenta de un extrabajador es especialmente golosa para un atacante: tiene permisos legítimos, nadie la está usando —así que nadie nota actividad extraña— y a menudo conserva su contraseña original, que puede haber acabado en una filtración. Es acceso legítimo sin vigilancia: el escenario perfecto.

El mínimo privilegio como norma

Más allá de retirar accesos, está la cuestión de cuántos dar. La tentación es dar acceso amplio "por si acaso", pero cada permiso de más es riesgo de más. Cada persona debería tener acceso solo a lo que necesita para su trabajo, y revisarlo cuando cambia de puesto, no solo cuando se va.

Un proceso simple, no una herramienta cara

No necesitas un sistema complejo para empezar: una lista actualizada de quién tiene acceso a qué, un paso obligatorio de "retirar accesos" en cada baja y una revisión periódica —cada trimestre, por ejemplo— para cazar las cuentas olvidadas. La disciplina vale más que la tecnología.

Empezar por ver

La revisión empieza por el inventario: saber exactamente quién tiene acceso a qué sistemas hoy. Recuperar esa visibilidad es lo que permite cerrar las puertas que llevan meses abiertas sin que nadie lo supiera.