Accesos en pymes: La primera capa de ciberseguridad

Cerradura inteligente con una tarjeta de acceso y marcas de verificación, que ilustra la gestión segura de accesos y los controles de ciberseguridad.

La gestión de accesos ocupa el primer lugar en la lista de verificación de ciberseguridad de una pyme, porque determina quién puede abrir los sistemas en los que funciona el negocio. Cuando el acceso no está claro o es excesivo, ni un parche, ni una copia de seguridad ni una herramienta de seguridad pueden impedir de forma fiable que la persona equivocada llegue a los datos de la empresa.

Para una pequeña y mediana empresa (pyme), la gestión de accesos significa controlar cuatro aspectos:

Identidad: quién existe en sus sistemas.
Autenticación: cómo demuestran quiénes son.
Autorización: qué pueden hacer una vez dentro.
Revocación: cómo desaparece ese acceso cuando debe hacerlo.

La lista de verificación de ciberseguridad para pequeñas empresas de Passwork expone la base completa que necesita una pyme. Este artículo profundiza en una parte de esa base: cómo configurar la identidad, la autenticación, la autorización y la revocación como un sistema que funcione día a día.

Conclusiones clave

La gestión de accesos necesita un inventario de personas, cuentas, aplicaciones, credenciales y propietarios antes de que tenga sentido cualquier decisión de política.
La autenticación multifactor (MFA) debe cubrir primero las cuentas de correo electrónico, administrador, acceso remoto, finanzas, almacenamiento en la nube y datos sensibles.
El control de acceso basado en roles (RBAC) y el uso controlado de credenciales compartidas reducen el acceso que permanece activo más tiempo del que realmente exige un puesto.
Las revisiones de acceso, la baja de usuarios y los registros de auditoría convierten una configuración puntual en un proceso operativo que sigue funcionando.

Por qué la gestión de accesos es lo primero en la lista de verificación de ciberseguridad de una pyme

La gestión de accesos es lo primero porque todos los demás controles dependen de ella. Las copias de seguridad, la protección de endpoints y las herramientas de monitorización asumen que las cuentas que las utilizan son las correctas, con los permisos correctos, en el momento correcto.

La gestión de identidades y accesos (IAM) es la disciplina que se encarga de esto. NIST describe la IAM como «una capacidad de ciberseguridad fundamental y crítica» centrada en garantizar que las personas y los sistemas adecuados tengan el acceso adecuado a los recursos adecuados en el momento adecuado. La autenticación demuestra que un usuario o sistema es quien dice ser. La autorización decide qué puede hacer ese usuario o sistema una vez que ha iniciado sesión. Ambos pasos deben funcionar para que cualquier control posterior tenga sentido.

Esta dependencia se manifiesta en toda la empresa:

Las cuentas de correo electrónico y SaaS son la vía de acceso a los restablecimientos de contraseña, los documentos compartidos y los registros de clientes.
Los derechos de administrador de endpoints determinan si un usuario puede instalar software o desactivar los ajustes de seguridad.
Las cuentas de administrador de copias de seguridad y los permisos de almacenamiento en la nube determinan si los datos de recuperación pueden alterarse o eliminarse.
El acceso de contratistas y proveedores determina si las personas externas a la empresa conservan el acceso una vez finalizado un proyecto.
La respuesta a incidentes depende de la capacidad de desactivar cuentas, revocar sesiones y rastrear quién ha utilizado una credencial concreta.

El informe IBM Cost of a Data Breach Report 2026 sitúa el coste medio mundial de una filtración en 4,99 millones de dólares. Esta cifra ilustra por qué las decisiones de acceso que hay detrás de una filtración tienen un peso real.

Passwork ofrece a su equipo una bóveda organizada para contraseñas y secretos compartidos, con permisos que se adaptan al flujo de trabajo de su equipo. Descubra cómo funciona la gestión de accesos de Passwork.

Haga un inventario de cada identidad y vía de acceso

Un inventario de identidades enumera todos los tipos de cuenta que pueden acceder a los recursos de la empresa, junto con la persona o el equipo responsable de cada una. Va más allá de una lista genérica de activos porque asigna un propietario a cada entrada, incluidas las cuentas compartidas, automatizadas o ajenas a la nómina.

Empiece separando las identidades humanas de las no humanas. Los empleados y administradores necesitan cuentas individuales. Los proveedores, contratistas y buzones compartidos necesitan un propietario designado, aunque la cuenta la utilice más de una persona. Las cuentas de servicio y las claves de API, las credenciales que usan las aplicaciones para comunicarse entre sí, requieren la misma responsabilidad, ya que a menudo tienen permisos que ninguna cuenta humana posee.

Tipo de identidad o cuenta	Ejemplos	Propietario	Sistema o bóveda	Nivel de acceso	Estado de MFA	Fecha de revisión
Empleado	Inicio de sesión estándar del personal	Responsable	Proveedor de identidad	Basado en roles	Activada	Trimestral
Administrador	Administrador de sistemas o red	Responsable de TI	Directorio / infraestructura	Elevado	Activada	Mensual
Contratista / proveedor	Acceso al portal, acceso al proyecto	Responsable del proyecto	Sistema del proveedor	Limitado en el tiempo	Activada donde sea compatible	En los hitos del contrato
Credencial compartida	Herramienta heredada, portal de proveedor	Propietario de la bóveda	Bóveda del gestor de contraseñas	Mínimo privilegio	N/A o MFA de la bóveda	Trimestral
Cuenta de servicio / clave de API	Automatización, integración	Propietario del sistema	Configuración de la aplicación	Limitado y mínimo	N/A	En cada rotación

Una contraseña compartida, un token de API o un inicio de sesión en el portal de un proveedor que no se puede sustituir de inmediato sigue necesitando un propietario registrado hoy mismo. Ese único campo convierte un inventario en algo sobre lo que se puede actuar durante una revisión o un incidente.

Autentique identidades sólidas y autorice solo el acceso necesario

La autenticación y la autorización son el punto donde la mayoría de las usurpaciones de cuentas tienen éxito o fracasan. Implantar MFA en las cuentas adecuadas, sustituir los inicios de sesión compartidos por accesos nominales y diseñar roles en función de las funciones reales del puesto cierra las brechas que los atacantes utilizan con más frecuencia para entrar y moverse una vez dentro.

Aplique MFA a las cuentas que controlan el negocio

La autenticación multifactor (MFA), un método de inicio de sesión que exige más de un factor de verificación, debe implantarse mediante controles técnicos y verificarse. CISA indica a las pequeñas empresas que implanten la MFA con controles técnicos y la activen en todas las cuentas de administrador. Empiece por las cuentas de correo electrónico, administrador, acceso remoto, finanzas, almacenamiento en la nube y datos sensibles, ya que son las que ofrecen más alcance a un atacante si se ven comprometidas.

La autenticación resistente al phishing vincula el inicio de sesión al servicio legítimo, lo que hace mucho más difícil reutilizar las credenciales robadas. Las llaves de seguridad FIDO2 y las passkeys son los ejemplos actuales. NIST SP 800-63B Revisión 4 exige que las aplicaciones de Nivel de Garantía del Autenticador 2 (AAL2) ofrezcan una opción resistente al phishing, sin obligar a que sea el único método para todas las empresas. Considérelo la dirección hacia la que avanzar, primero para sus cuentas de mayor riesgo y, a medida que su configuración lo permita, para el resto de los inicios de sesión.

Documente las vías de recuperación por separado. Restrinja quién puede restablecer la MFA de otra persona, proteja cualquier cuenta de emergencia de «rotura de cristal» con un propietario designado y un uso limitado, y revise esa cuenta después de cada uso.

Haga que las credenciales únicas sean viables con un gestor de contraseñas controlado

El credential stuffing es la reutilización automatizada de pares de nombre de usuario y contraseña robados contra otros servicios. Funciona porque las personas reutilizan la misma contraseña en varias cuentas, de modo que una credencial filtrada da a los atacantes una llave que abre varias puertas. El informe Data Breach Investigations Report 2026 de Verizon sitúa el abuso de credenciales en el 13 % de los vectores de acceso inicial y las credenciales en el 28 % de los tipos de datos robados en las filtraciones.

Las contraseñas únicas frenan ese ataque: una credencial filtrada solo desbloquea el servicio del que se filtró. El objetivo práctico son las credenciales únicas y controladas por la organización, con acceso nominal, que sustituyan la hoja de cálculo compartida o el mensaje de chat de los que todavía dependen demasiados equipos. Una política de gestión de contraseñas que exija una contraseña única y generada para cada cuenta da a este objetivo una base escrita. Un gestor de contraseñas diseñado para equipos hace que esa política sea viable día a día, generando y almacenando credenciales mientras controla exactamente quién puede recuperarlas.

Diseñe los roles en función del trabajo y después elimine los derechos de administrador permanentes

El control de acceso basado en roles (RBAC) asigna permisos en función de las funciones actuales del puesto y no del historial acumulado. Todo administrador debería tener también una cuenta estándar independiente para el trabajo diario, de modo que tareas rutinarias como el correo electrónico o la navegación nunca se ejecuten desde un inicio de sesión de alto privilegio.

Un ejemplo breve: el personal de finanzas obtiene acceso a los sistemas contables, el personal de soporte obtiene acceso a la plataforma de atención al cliente y los administradores de TI obtienen acceso administrativo aprobado a la infraestructura. Los propietarios de las aplicaciones aprueban las asignaciones de roles, y TI confirma que la configuración técnica coincide con lo aprobado.

Sustituya el acceso compartido y anónimo por un acceso con responsabilidad

Las cuentas individuales ofrecen mejor trazabilidad que los inicios de sesión compartidos, ya que cada acción se puede atribuir a una persona. Algunas herramientas heredadas y portales de proveedores todavía obligan a usar credenciales compartidas. Cuando esto ocurra, guarde la credencial en una bóveda controlada con acceso de usuario nominal, permisos de mínimo privilegio, un registro de auditoría y un desencadenante de rotación programada.

Si un portal de proveedor o una herramienta heredada todavía obliga a usar un inicio de sesión compartido, Passwork le permite guardarlo una sola vez, conceder el acceso por nombre y registrar cada recuperación. Explore los permisos de bóveda de Passwork para las cuentas que todavía no puede eliminar.

El bucle de control de acceso de la pyme

El acceso debe cambiar a medida que cambian las personas y los roles, y alguien debe confirmar que el cambio se ha producido realmente. El ciclo de vida de alta, cambio y baja describe los tres momentos en los que hay que actualizar el acceso: cuando alguien se incorpora, cuando cambia de rol y cuando se marcha.

La incorporación, un cambio de puesto, el fin de un contrato, una inactividad prolongada, un cambio de sistema o una sospecha de compromiso deberían activar siempre una actualización del acceso. En lugar de adoptar un plazo universal para la baja de usuarios, documente un nivel de servicio basado en el riesgo para su empresa y confirme en cada caso que se ha cumplido.

Escenario ilustrativo: un responsable de ventas abandona la empresa. TI debe revisar la cuenta del proveedor de identidad, la sesión de correo electrónico activa, el rol en el CRM, los permisos de uso compartido del almacenamiento en la nube, el acceso VPN, el dispositivo móvil y cualquier pertenencia a una bóveda de credenciales. Pasar por alto uno solo de estos puntos deja una vía activa hacia los sistemas de la empresa después de que la persona se haya marchado.

El bucle de control de acceso de la pyme, que se muestra en la tabla siguiente, abarca cinco etapas: inventario, autenticación, autorización, cambio o eliminación, y verificación. Cada etapa corresponde directamente a un control que una pequeña o mediana empresa puede aplicar sin un presupuesto de IAM empresarial.

Control	Propietario responsable	Desencadenante o frecuencia	Evidencia que conservar	Completado cuando
Inventario de identidades	Responsable de TI o MSP	Trimestral y tras un cambio importante del sistema	Exportación o registro controlado	Todos los sistemas empresariales y clases de cuentas tienen un propietario.
Cobertura de MFA	Responsable de TI o MSP	Cuenta nueva; comprobación mensual de cumplimiento	Informe de MFA del proveedor de identidad	Las cuentas prioritarias están inscritas y las excepciones están documentadas.
Asignación de roles y privilegios	Propietario de la aplicación con aprobación de TI	Nuevo rol o solicitud de acceso	Ticket aprobado o registro de flujo de trabajo	El acceso coincide con el rol actual del puesto.
Baja de usuarios	Responsable, activación de RR. HH. y ejecución de TI	Salida o fin de contrato	Lista de verificación de revocación y marcas de tiempo	El acceso, las sesiones, los dispositivos y la pertenencia a bóvedas se eliminan o se transfieren.
Revisión de acceso	Propietario de la aplicación	Frecuencia basada en el riesgo, habitualmente trimestral para los sistemas sensibles	Registro de revisión y lista de correcciones	El acceso innecesario se elimina y las excepciones tienen un propietario y una fecha de caducidad.
Revisión de credenciales compartidas	Propietario de la bóveda	Cambio de rol, sospecha de compromiso o revisión programada	Registro de auditoría de la bóveda y registro de rotación	Solo los usuarios aprobados conservan el acceso y las acciones de rotación quedan documentadas.

Cómo gestiona Passwork el acceso a las credenciales

Passwork centraliza las contraseñas y los secretos del equipo, controla quién puede recuperarlos y registra cada evento de acceso, trabajando junto a un proveedor de identidad en lugar de sustituirlo. Se encarga de la autorización y la eliminación del acceso: concede a las personas las credenciales adecuadas y corta ese acceso en el momento en que cambia un rol o una situación laboral.

El flujo de trabajo de credenciales se desarrolla en cuatro pasos:

Conecte la fuente de identidad. Vincule Active Directory, LDAP o un proveedor de identidad SAML 2.0, como Microsoft Entra ID, Okta, ADFS o Google Workspace.
Asigne los grupos a las bóvedas. Cada grupo del directorio obtiene acceso de lectura, escritura, compartición o solo auditoría a una bóveda o carpeta en función de su rol.
Centralice las credenciales. Guarde contraseñas, claves de API y certificados en bóvedas compartidas y propiedad de la organización, en lugar de en almacenes personales del navegador, hojas de cálculo o conversaciones de chat.
Audite cada acción. Consulte el registro para ver quién accedió, modificó, compartió o exportó una credencial, y cuándo. Expórtelo a una herramienta SIEM si su equipo de seguridad lo necesita allí.

Passwork gobierna el acceso a las credenciales. No sustituye a la fuente de identidad, al ciclo de vida documentado ni al propietario designado detrás de cada decisión de acceso. Esas responsabilidades siguen siendo de la organización.

Conclusión

Una pequeña empresa no necesita un presupuesto de IAM empresarial para hacer esto bien. Necesita que ocurran cuatro cosas en orden: saber quién tiene acceso, autenticarlo y autorizarlo correctamente, eliminarlo en el momento en que algo cambie y verificar que la eliminación se ha producido realmente. Un propietario, una evidencia, siempre.

¿Listo para poner las contraseñas y los secretos del equipo bajo un control de acceso estructurado y auditable? Pruebe Passwork en su infraestructura y vea cómo los grupos de directorio, los permisos de bóveda y los registros de auditoría se adaptan a su implementación.

Preguntas frecuentes

¿Qué es la gestión de accesos para una pequeña empresa?

La gestión de accesos es el proceso de decidir quién puede usar los sistemas y los datos de la empresa, qué puede hacer después de iniciar sesión y cómo se revisa o se elimina ese acceso. Para una pequeña o mediana empresa, abarca las cuentas de empleados, el acceso de administradores, los contratistas, las credenciales compartidas y las cuentas de servicio.

¿Qué controles de acceso debería implementar primero una pyme?

Empiece por identificar las cuentas y aplicaciones que controlan las operaciones del negocio. Implante la MFA en las cuentas prioritarias, elimine el acceso de administrador y el acceso compartido innecesarios y, a continuación, documente la baja de usuarios y las revisiones de acceso para que los controles sigan funcionando después de la configuración.

¿Con qué frecuencia debería una pequeña empresa revisar el acceso?

La frecuencia de revisión debe adaptarse al riesgo del sistema y al ritmo de cambio de la empresa. Los sistemas sensibles necesitan una validación más frecuente, y cada revisión periódica debe registrar quién la realizó, las eliminaciones y cualquier excepción aprobada con una fecha de caducidad.

¿Cómo deben gestionarse los contratistas y los empleados que se marchan?

Asigne al acceso de los contratistas una fecha de caducidad vinculada al contrato, no una fecha abierta. Para los empleados que se marchan, revoque conjuntamente el acceso al proveedor de identidad, las sesiones activas, el acceso a dispositivos y la pertenencia a bóvedas, y documente las marcas de tiempo como evidencia de que la eliminación se ha producido.

¿Puede un gestor de contraseñas sustituir a un sistema IAM?

Un gestor de contraseñas corporativo gobierna el acceso a contraseñas y secretos. El IAM gestiona identidades, autenticación y acceso en un ámbito más amplio de aplicaciones. Passwork trabaja junto a los servicios de directorio y los proveedores de identidad en la parte de acceso a credenciales de ese modelo más amplio.

Gestión de accesos para pymes: La primera capa de ciberseguridad