Gestión de identidades y accesos (IAM): quién puede hacer qué en tu empresa

IAM (Identity and Access Management) es el conjunto de procesos y tecnologías que controlan quién puede acceder a qué recursos en tu organización. Es la base de cualquier estrategia de seguridad madura.

Principios fundamentales

• Mínimo privilegio: cada usuario tiene acceso solo a los recursos que necesita para su trabajo. No más.
• Separación de funciones: ninguna persona debería poder realizar sola una acción crítica de principio a fin (ej. autorizar y ejecutar una transferencia).
• Identidad verificada: sabes quién es cada usuario antes de darle acceso.
• Acceso auditado: registras quién accedió a qué y cuándo.

Problemas comunes en pymes

• Empleados que se van pero sus cuentas siguen activas.
• Todos comparten la misma cuenta de administrador.
• El mismo usuario administra los sistemas y los backups.
• Contraseñas de sistemas compartidas por WhatsApp.

¿Cómo mejorar tu IAM?

1. Inventaria todos los usuarios y sus accesos actuales.
2. Elimina o desactiva cuentas de empleados que ya no trabajan.
3. Implementa SSO (Single Sign-On) con MFA.
4. Define roles y asigna permisos por rol, no por persona.
5. Revisa trimestralmente los accesos (access review).