Gestionar contraseñas en equipo es sencillo con tres personas. Con 15, empieza a fallar.
Una empresa pequeña puede tener un puñado de herramientas, unas cuentas compartidas y, por lo general, un único lugar informal donde viven las contraseñas: una hoja de cálculo, un mensaje fijado en el chat o un documento compartido.
A medida que se incorporan más personas a una empresa, el intercambio informal dificulta ver la diferencia entre un acceso útil y un acceso arriesgado. Las contraseñas de las herramientas cotidianas acaban mezcladas con credenciales de sistemas de finanzas, administración, clientes o infraestructura. Desde fuera, la lista puede seguir pareciendo organizada, pero ya no refleja quién necesita realmente acceso a qué.
A medida que una empresa crece, las credenciales compartidas necesitan estructura y control: quién puede acceder a cada contraseña, qué departamento es el propietario de las credenciales y cómo cambia el acceso a medida que las personas se incorporan, se marchan o cambian de rol.
Explicamos cómo organizar las cajas fuertes de contraseñas por equipo o departamento, cómo el acceso basado en grupos favorece el principio de mínimo privilegio y cómo hacer que la incorporación y la salida de empleados sean más seguras, antes de que la proliferación de credenciales se convierta en un problema de seguridad y operaciones.
Por qué el acceso compartido a las contraseñas no escala
El intercambio informal suele ser el primer modelo del que dependen las empresas en crecimiento. Está pensado para la comodidad: las contraseñas pueden vivir en una hoja de cálculo, un hilo de chat o el navegador de alguien, y nadie tiene que pedir acceso cada vez que necesita un inicio de sesión.
El caos y el riesgo superan rápidamente esa comodidad. Cuando entran en la empresa más equipos, contratistas, clientes y herramientas, esa lista compartida se vuelve demasiado amplia para el trabajo que las personas hacen realmente. El equipo de finanzas puede necesitar credenciales de banca, nóminas y facturación, pero no cuentas publicitarias ni herramientas de desarrollo, por ejemplo. El equipo de marketing puede necesitar acceso a análisis, contenido y redes sociales, pero no portales legales ni credenciales de infraestructura.
Las grietas se hacen visibles en el trabajo cotidiano, pero es la salida de empleados donde este modelo se vuelve peligroso. Cuando alguien se marcha, la empresa no tiene una forma fiable de saber a qué credenciales tenía acceso, cuáles copió o cuáles aún recuerda. Rotar una contraseña significa distribuir la nueva de nuevo por los mismos canales desprotegidos, sin registro de quién la recibió. Ante ese esfuerzo, muchas empresas omiten la rotación.
Un gestor de contraseñas para empresas con cajas fuertes estructuradas y acceso basado en grupos sustituye la imprecisión por control: el acceso se puede conceder, revisar y revocar de forma deliberada.
Cuanto más grande se vuelve la caja fuerte, menos útil es como control de acceso. Puede seguir almacenando las contraseñas de forma segura, pero ya no refleja cómo funciona realmente la empresa, quién es el propietario de cada credencial ni quién debería poder usarla.
El acceso por equipos favorece el principio de mínimo privilegio
El principio que hay detrás del acceso a las credenciales por departamento es sencillo: las personas solo deberían tener acceso a las credenciales que necesitan para su trabajo.
El principio de mínimo privilegio es útil porque aporta una prueba clara al acceso a las credenciales: ¿necesita esta persona esta credencial para hacer su trabajo o la tiene porque se le concedió el acceso una vez y nunca se volvió a cuestionar? En la gestión de contraseñas en equipo, esa pregunta debería determinar cómo se crean las cajas fuertes, quién se une a ellas y cuándo se elimina el acceso.
Esto es especialmente importante para las credenciales compartidas. Un inicio de sesión compartido ya es más difícil de gobernar que una cuenta individual, porque más de una persona puede usarlo.
Cuando esa credencial también es accesible para personas que no necesitan acceso a ella, la empresa asume una exposición sin ningún beneficio: cada persona adicional que puede verla es otro dispositivo donde se puede autocompletar, copiar o donde se puede sufrir suplantación (phishing). La empresa puede saber que la contraseña está almacenada en un lugar seguro, pero no si todas las personas con acceso a la caja fuerte siguen teniendo una razón válida para usarla.
Los grupos de Proton Pass for Business resuelven esto: los administradores pueden organizar a las personas en grupos que reflejan equipos, departamentos o proyectos, y después asignar esos grupos a cajas fuertes y elementos concretos, de modo que el acceso siga el rol en lugar de una lista de concesiones individuales.
La estructura de las cajas fuertes debe corresponderse con el riesgo. Los inicios de sesión operativos de bajo riesgo se pueden compartir fácilmente, mientras que las credenciales de administrador, las herramientas de finanzas, los sistemas de recursos humanos, las exportaciones de clientes y el acceso a copias de seguridad necesitan controles más estrictos.
Cómo es una buena estructura de cajas fuertes
Una estructura de cajas fuertes útil debería ayudar a las personas a encontrar lo que necesitan sin darles todo.
Una base práctica para la mayoría de las pymes en crecimiento incluye seis cajas fuertes de contraseñas por equipo:
- Finanzas: Contabilidad, nóminas, banca, facturación, portales fiscales, plataformas de pago.
- Marketing: Redes sociales, analítica, publicidad, gestión de contenido, herramientas de diseño.
- Ventas y atención al cliente: CRM, herramientas de propuestas, portales de clientes, plataformas de soporte.
- Operaciones: Portales de proveedores, herramientas de gestión de proyectos, logística, compras.
- TI y seguridad: Consolas de administración, cuentas de copia de seguridad, gestión de dispositivos, DNS, alojamiento, infraestructura.
- Dirección: Materiales del consejo, portales para inversores, servicios de nivel ejecutivo, cuentas sensibles de proveedores.
Cuando la estructura de cajas fuertes y el acceso por grupos funcionan juntos, los administradores pueden gestionar los permisos a escala: asignar un grupo de finanzas a la caja fuerte de finanzas, un grupo de TI a las cajas fuertes de infraestructura y un grupo de proyecto al trabajo temporal para clientes. Así, el acceso escala con el organigrama en lugar de con la memoria de un administrador.
Una vez establecida la estructura base, se pueden crear cajas fuertes restringidas donde el riesgo lo justifique. Un equipo de TI puede mantener una caja fuerte general de TI y otra caja fuerte de administración con privilegios separada, ambas asignadas a los grupos correspondientes.
Esto se vuelve esencial durante la incorporación y la salida de empleados. Añadir a alguien a un grupo le concede todas las cajas fuertes necesarias a la vez; eliminar a esa persona revoca todo a la vez.
El objetivo no es complicar las cajas fuertes. El objetivo es evitar mezclar credenciales con niveles de riesgo muy diferentes. Una herramienta de programación de publicaciones en redes sociales no debería compartir el acceso con la administración de nóminas.
Estructuras de cajas fuertes de contraseñas para equipos de diferentes tamaños
Una empresa muy pequeña no necesita una arquitectura de cajas fuertes de nivel empresarial. Demasiada estructura demasiado pronto puede generar confusión y ralentizar la adopción.
Incluso con una o dos personas, separar las credenciales de la empresa de las personales en cajas fuertes distintas sienta las bases para el crecimiento.
Para un equipo de tres a 10 personas, puede bastar con unas pocas cajas fuertes generales: operaciones de la empresa, finanzas, marketing y TI. La prioridad principal es evitar una única caja fuerte para todo y mantener separadas las credenciales más sensibles.
Para un equipo de 10 a 50 personas, la estructura de las cajas fuertes debe seguir cómo se organiza realmente la empresa. En esta etapa, el acceso a las credenciales se convierte en parte de las operaciones cotidianas: las personas se incorporan a equipos, entran contratistas para proyectos concretos, los responsables pasan a encargarse de las herramientas que usan sus equipos y los administradores necesitan una forma de revisar el acceso sin abrir cada credencial una por una. Los contratistas y colaboradores externos pueden asignarse a cajas fuertes específicas de proyecto con acceso acotado, de modo que solo vean lo que requiere su trabajo y pierdan el acceso automáticamente cuando el proyecto termina.
Para equipos de 50 personas o más (pymes más grandes y equipos de tamaño medio), puede que las cajas fuertes necesiten seguir tanto los departamentos como los roles. Una etiqueta de departamento no siempre es lo bastante específica; alguien puede trabajar en finanzas sin necesitar acceso a la banca, o dar soporte a las operaciones de TI sin necesitar credenciales de administrador con privilegios.
La estructura debe adaptarse a la empresa, y no al revés. Las siguientes secciones explican cómo poner en práctica esa estructura mediante la incorporación, la salida de empleados y revisiones de acceso continuas.
Integrar la estructura en la incorporación
La incorporación suele poner de manifiesto una gestión de contraseñas deficiente. Se incorpora un empleado nuevo y alguien tiene que recordar qué credenciales necesita, dónde están esas contraseñas, quién puede compartirlas y qué accesos deberían esperar hasta después de la formación o la aprobación.
Un modelo basado en equipos elimina esa dependencia de la memoria. Cuando se incorpora alguien nuevo a finanzas, no necesita que un compañero identifique y comparta manualmente cada credencial. Basta con añadir a esa persona al grupo de finanzas para que obtenga el acceso que necesita. Nadie debería tener que reenviar enlaces, pegar contraseñas en el chat ni recordar qué herramientas suele usar el equipo de finanzas.
Basta con añadir a la persona al grupo de finanzas para que herede automáticamente las cajas fuertes y los elementos asignados a este: solo las credenciales vinculadas a ese rol. Esto hace que la incorporación sea más rápida y evita que las cuentas sensibles se extiendan más allá del equipo que las necesita. Las personas pueden empezar a trabajar sin perseguir contraseñas, mientras la empresa evita dar un acceso amplio por comodidad.
Aquí también ayuda tener una política de contraseñas clara. La guía de Proton sobre cómo crear una política de contraseñas explica cómo las empresas pueden definir reglas de creación de contraseñas, uso compartido seguro, gestión de accesos y autenticación. Esas reglas resultan más fáciles de aplicar cuando las credenciales ya están organizadas por equipo.
Hacer más segura la salida de empleados
Con una única caja fuerte compartida de la empresa, la revocación es todo o nada: el empleado que se marcha puede haber tocado decenas o cientos de credenciales, lo que obliga a una rotación amplia o, peor aún, deja a antiguos empleados con acceso residual.
Una salida de empleados precisa tiene este aspecto:
- Eliminar a la persona de los grupos de equipo y de proyecto.
- Revisar las credenciales que poseía o administraba.
- Rotar las contraseñas de mayor riesgo cuando sea necesario.
La empresa puede concentrar los esfuerzos de rotación y revisión en las credenciales que realmente conllevan riesgos, en lugar de tratar cada contraseña como una emergencia.
Aquí es donde crear grupos compensa. Si el acceso se administra únicamente mediante cajas fuertes compartidas, un administrador tiene que revocar el acceso de la persona en cada caja fuerte una por una. Con los grupos, eliminar a alguien del grupo revoca de una vez todas las cajas fuertes y elementos asignados a ese grupo: una acción en lugar de una auditoría.
La misma lógica se aplica cuando alguien cambia de rol. Una persona que pasa de ventas a operaciones no debería conservar por defecto las credenciales de administrador del CRM antiguas. Los cambios de rol deberían desencadenar una revisión del acceso a las cajas fuertes al igual que la salida de empleados. Con el acceso basado en grupos, esta revisión es rápida: se mueve a la persona entre grupos y su acceso se actualiza automáticamente (las credenciales antiguas del CRM desaparecen y se conceden las nuevas cajas fuertes de operaciones) en un solo paso.
Mejor visibilidad para los administradores
Una buena gestión de contraseñas en equipo ofrece a los administradores una visión clara del acceso. Deberían poder responder rápidamente a preguntas básicas.
Preguntas clave sobre el acceso que los administradores deberían poder responder
- ¿Quién puede acceder a las credenciales de finanzas?
- ¿Qué cajas fuertes incluyen a los contratistas?
- ¿Qué usuarios tienen acceso a las contraseñas de administrador?
- ¿Qué credenciales se comparten entre departamentos?
- ¿Qué cambió tras la marcha de un empleado?
- ¿Qué cajas fuertes contienen cuentas de alto riesgo o privilegiadas?
La guía del NCSC sobre gestión de la identidad y el acceso(ventana nueva) hace hincapié en controlar quién y qué puede acceder a los sistemas y datos. También señala la importancia de limitar el acceso a lo necesario y revisar el acceso con regularidad.
Esto resulta difícil cuando el acceso se organiza en torno a la comodidad en lugar de la responsabilidad. Una estructura de cajas fuertes limpia ofrece a los administradores un punto de partida más sólido para auditorías de seguridad, revisiones de acceso y cuestionarios de clientes.
Para los equipos de TI, Proton Pass for Business admite la gestión centralizada, las políticas, el intercambio seguro, los informes y registros, el aprovisionamiento SCIM y las integraciones SSO. Los equipos obtienen una visibilidad centralizada que las contraseñas guardadas en el navegador y las hojas de cálculo compartidas no ofrecen.
Errores comunes en la gestión de cajas fuertes compartidas
Los problemas con las cajas fuertes compartidas suelen empezar como atajos. Facilitan el acceso en un primer momento, pero también dificultan saber más adelante quién puede usar qué credenciales.
Cinco errores explican la mayoría de los fallos en las cajas fuertes compartidas de las empresas en crecimiento:
Mantener una única caja fuerte de la empresa durante demasiado tiempo
Una única caja fuerte puede funcionar al principio, pero a la larga da acceso a demasiadas personas a credenciales fuera de su rol.
Depender de los conocimientos de un único administrador
Si solo una persona sabe dónde están las credenciales críticas, la empresa depende de la memoria en lugar de los procesos, y ese conocimiento se marcha con ella.
Tratar el acceso a las cajas fuertes como algo permanente
Las personas cambian de rol, los contratistas terminan sus proyectos y los proveedores se van. El acceso a las cajas fuertes debería cambiar con ellos.
Olvidar la rotación de credenciales
Algunas contraseñas hay que cambiarlas tras una baja, cambios de rol o periodos de intercambio demasiado amplio, especialmente en cuentas de administrador, herramientas de finanzas, sistemas de clientes y portales de proveedores.
Mezclar los inicios de sesión cotidianos con el acceso privilegiado
Una caja fuerte de equipo puede facilitar el trabajo diario, pero las credenciales de alto riesgo siguen necesitando una revisión más estricta y un acceso más limitado.
Todos estos errores tienen la misma causa de raíz (un acceso organizado en torno a la comodidad) y la misma cura: una estructura que refleje el equipo, los roles y el riesgo.
Cómo Proton Pass for Business apoya la gestión de contraseñas en equipo
Proton Pass for Business ayuda a las empresas a pasar del intercambio informal de contraseñas a una gestión de credenciales estructurada. Los equipos pueden generar contraseñas robustas, almacenar credenciales en cajas fuertes cifradas, compartir acceso de forma segura y administrar las contraseñas de la empresa desde un único lugar.
Un gestor de contraseñas para empresas ofrece a los equipos un lugar más seguro para almacenar y compartir credenciales, pero la estructura en torno a esas credenciales sigue siendo importante. Para los equipos en crecimiento, el siguiente paso es asegurarse de que el acceso compartido refleja cómo trabaja realmente la gente: por departamento, rol, proyecto y nivel de riesgo.
Con los grupos en Proton Pass, el acceso a las credenciales se administra al nivel en el que los equipos realmente trabajan: los administradores asignan cajas fuertes y elementos a grupos que reflejan sus departamentos o proyectos, y los cambios de pertenencia actualizan el acceso automáticamente; añadir a un nuevo empleado le concede todo lo que necesita, y eliminarlo revoca todo.
Una estructura más clara facilita gestionar el intercambio seguro dentro del flujo de trabajo. Las credenciales se organizan en torno a los equipos y roles que realmente las usan, los administradores tienen una mejor visión del acceso y los empleados pueden encontrar las contraseñas que necesitan sin llevar los secretos al chat, al correo electrónico o a notas personales.
Organiza el acceso a las credenciales de tu equipo con un gestor de contraseñas para empresas.
