La gestión de identidades y accesos (IAM) suena a algo que solo concierne a grandes empresas con departamentos de TI de veinte personas. Pero en realidad, es una de las áreas donde una pequeña empresa puede mejorar más rápido su postura de seguridad con menos esfuerzo.
Si tu empresa tiene cinco empleados y cada uno accede a correo, contabilidad, un CRM y herramientas de almacenamiento, ya tienes un problema de gestión de identidades. La pregunta no es si lo necesitas. Es si lo estás haciendo bien.
El problema de no gestionar identidades
Veamos el escenario típico de una pyme sin gestión de identidades:
- Cada empleado tiene sus propias contraseñas, reutilizadas entre servicios
- Cuando alguien se va, nadie recuerda desactivar todas sus cuentas
- El propietario comparte su contraseña con el contable para que revise facturas
- Las cuentas de administrador de servicios cloud se usan para tareas cotidianas
- Nadie sabe exactamente quién tiene acceso a qué
Esto no es descuido. Es la realidad de las empresas que no tienen a alguien dedicado a gestionar estos aspectos. Pero las consecuencias son reales: credenciales comprometidas, accesos indebidos y, en el peor caso, un ex-empleado con acceso a datos sensibles.
Los cinco pilares de IAM para pymes
1. Inventario de identidades
No puedes gestionar lo que no conoces. El primer paso es saber qué identidades existen.
Cuentas de personas: cada empleado, con qué servicios tiene cuenta y qué nivel de acceso tiene.
Cuentas compartidas: esas cuentas genéricas que usan varias personas (“admin@empresa.com”, “soporte@empresa.com”). Deberían desaparecer o tener acceso restringido.
Cuentas de servicio: aplicaciones y scripts que se conectan a otros sistemas con sus propias credenciales.
Cuentas externas: proveedores, asesores, freelancers que tienen acceso a algún sistema.
Haz este inventario en una hoja de cálculo. No necesitas una herramienta sofisticada. Necesitas saber qué existe.
2. Autenticación multifactor
El MFA es la medida de seguridad con mejor relación coste-beneficio que existe. Bloquea la inmensa mayoría de ataques basados en credenciales robadas.
Para una pyme sin TI:
- Activa MFA en todo lo que lo permita: correo, contabilidad, CRM, panel de hosting, servicios cloud
- Usa apps autenticadoras (Google Authenticator, Microsoft Authenticator) en lugar de SMS, que es vulnerable a SIM swapping
- Para cuentas compartidas que no soportan MFA por usuario: considera migrar a un servicio que sí lo soporte
El MFA no es perfecto, pero reduce el riesgo de credenciales comprometidas en más del 99%. No hay excusa para no activarlo.
3. Gestión de contraseñas
La reutilización de contraseñas es el problema de seguridad más extendido y más fácil de resolver.
Un gestor de contraseñas corporativo permite:
- Cada empleado tiene una contraseña maestra fuerte que recuerda
- El resto de contraseñas son generadas, únicas y almacenadas automáticamente
- Se pueden compartir credenciales de forma segura sin enviarlas por correo o WhatsApp
- Cuando alguien se va, se revocan sus accesos compartidos
Existen opciones con planes para empresas pequeñas que cuestan menos de lo que se garta en café al mes. La inversión se paga sola la primera vez que evita un incidente.
4. Principio de mínimo privilegio
Cada persona debería tener solo el acceso necesario para hacer su trabajo. No más.
En la práctica, esto significa:
- El contable accede a la contabilidad, no al CRM
- El comercial accede al CRM, no a la contabilidad
- Nadie usa la cuenta de administrador para tareas cotidianas
- Los proveedores externos tienen acceso solo a lo que necesitan, y se revoca cuando termina su trabajo
Revisar accesos no es un proyecto de un fin de semana. Es un hábito. Cada trimestre, dedica una hora a revisar quién tiene acceso a qué y eliminar lo innecesario.
5. Ciclo de vida de identidades
El momento más peligroso en la gestión de identidades es cuando alguien se va.
Un procedimiento simple de offboarding:
- Lista de sistemas: revisar el inventario de identidades para saber qué cuentas tiene esa persona
- Revocación inmediata: desactivar todas las cuentas el último día, no “cuando tengamos tiempo”
- Dispositivos: recuperar equipos, revocar accesos VPN, borrar datos corporativos de dispositivos personales si los había
- Redirección: configurar el reenvío de correo durante un periodo razonable
- Verificación: una semana después, confirmar que no quedan accesos activos
Este procedimiento debería estar documentado. No en la cabeza del propietario. En un documento que cualquiera pueda seguir.
Herramientas accesibles para pymes
No necesitas un sistema IAM empresarial. Necesitas:
- SSO básico: si usas Google Workspace o Microsoft 365, ya tienes SSO. Aprovecha su capacidad de gestionar accesos a aplicaciones SaaS desde un solo punto
- Gestor de contraseñas: opciones con planes de equipo accesibles
- Panel de administración del proveedor cloud: Google Workspace y Microsoft 365 permiten gestionar usuarios, MFA, accesos a aplicaciones y dispositivos desde un panel web
- Herramienta de inventario: una hoja de cálculo es suficiente para empezar
Señales de que tu gestión de identidades necesita atención
- No sabes exactamente cuántas cuentas de administrador existen en tus sistemas
- Alguien se fue de la empresa hace meses y su cuenta de correo sigue activa
- Usas la misma contraseña para varios servicios
- Compartes contraseñas por correo o mensajería
- No tienes MFA activado en al menos una cuenta crítica
- No sabes qué proveedores externos tienen acceso a tus sistemas
Si reconoces alguna de estas señales, no entres en pánico. La gestión de identidades es un proceso, no un proyecto. Empieza por el inventario, activa MFA en las cuentas más críticas y avanza desde ahí.
El beneficio más allá de la seguridad
Una buena gestión de identidades no solo previene ataques. También facilita la operación diaria:
- Onboarding más rápido: un nuevo empleado tiene todas sus cuentas listas en horas, no en días
- Menos soporte: menos “olvidé mi contraseña”, menos bloqueos
- Auditoría: saber quién hizo qué y cuándo, útil para cumplimiento y resolución de disputas
- Escalabilidad: cuando la empresa crece, la gestión de identidades escala con ella sin caos
La gestión de identidades no es un lujo de grandes empresas. Es una disciplina básica que cualquier empresa, sin importar su tamaño, puede y debería practicar.