El control de accesos y la ciberseguridad en gestión documental responden a una pregunta esencial: ¿quién puede ver, modificar o eliminar cada documento, y cómo puede demostrarlo la organización? En una plataforma que almacena contratos, datos de trabajadores e información técnica, esta pregunta no admite una respuesta aproximada.
En resumen
- El control de accesos se basa en tres elementos: autenticación, autorización y registro.
- El principio de mínimo privilegio limita el impacto de los errores, de las cuentas comprometidas y de los usos indebidos.
- Los permisos deben seguir perfiles definidos, y no solicitudes individuales acumuladas a lo largo de los años.
- Las revisiones periódicas de accesos y los registros de auditoría son lo que convierte las reglas en evidencias.
Los tres elementos del control de accesos
| Elemento | Pregunta | Ejemplos de controles |
|---|---|---|
| Autenticación | ¿Quién es esta persona? | Cuentas individuales, autenticación multifactor, bloqueo tras intentos fallidos |
| Autorización | ¿Qué puede ver y hacer? | Perfiles, permisos por carpeta, entidad o tipo de documento, segregación de funciones |
| Registro | ¿Qué hizo y cuándo? | Registros de acceso, modificación y eliminación, alertas ante comportamientos anómalos |
Los tres elementos dependen unos de otros: si uno falla, los demás se debilitan. Por ejemplo, unos permisos bien diseñados sirven de poco si varias personas comparten la misma cuenta, porque ya no es posible saber quién hizo qué.
El principio de mínimo privilegio
Cada usuario debe tener acceso solo a la información que necesita para su función, y durante el tiempo que la necesite. Aunque parezca obvio, este principio se olvida a menudo en la práctica: un empleado cambia de puesto y conserva los accesos antiguos; un contratista termina su contrato y la cuenta sigue activa; un administrador concede permisos amplios para resolver un problema urgente y nunca los retira.
Por lo tanto, el mínimo privilegio no es una configuración que se hace una sola vez. Al contrario, es una disciplina que exige una revisión periódica. Al mismo tiempo, reduce el impacto de cualquier incidente, porque una cuenta comprometida solo expone aquello a lo que tenía acceso.
Perfiles en lugar de excepciones
En una plataforma de gestión documental, la forma más sólida de gestionar los permisos es definir perfiles por función, como analista documental, gestor de contrato, responsable de HSE, contratista o auditor, y asignar cada usuario a un perfil. Así, los permisos son coherentes, la creación de nuevas cuentas es rápida y las revisiones resultan viables.
Sin embargo, cuando cada usuario recibe permisos a medida, al cabo de unos años nadie sabe explicar por qué una persona determinada ve cierta información. Por eso, las excepciones deben ser escasas, justificadas, aprobadas y con fecha de fin.
Segregación de funciones
Algunas combinaciones de permisos generan riesgos propios. Por ejemplo, una misma persona no debe poder enviar un documento en nombre de un contratista y validarlo, ni modificar un registro y borrar su historial. Del mismo modo, quien administra la plataforma no debe, por norma, aprobar excepciones al proceso documental. Así, la segregación de funciones protege a la organización frente a errores y fraudes, y protege también a los propios usuarios, cuya actuación queda clara y verificable.
Cifrado y protección de los datos
El control de accesos actúa sobre quién utiliza la plataforma. Por otro lado, el cifrado protege los datos cuando circulan por la red y cuando están almacenados, también en las copias de seguridad. En conjunto, estos controles reducen el riesgo de exposición incluso en escenarios de fallo, como el robo de un disco o la interceptación de una comunicación. En este sentido, al evaluar una plataforma, la organización debe confirmar que el cifrado en tránsito y en reposo está garantizado y saber quién gestiona las claves.
Registros de auditoría: Qué conservar
- accesos correctos y fallidos, con fecha, hora y origen;
- consultas, descargas, modificaciones y eliminaciones de documentos sensibles;
- cambios de permisos y de perfiles;
- decisiones de validación y de excepción.
Los registros deben estar protegidos contra modificaciones y tener un plazo de conservación definido. No obstante, guardarlo todo indefinidamente no es la respuesta: el plazo debe ser proporcional a la finalidad y, cuando los registros incluyan datos personales, respetar el RGPD.
Revisiones periódicas de accesos
Al menos una vez al año, y siempre que haya reorganizaciones, los responsables de cada área deben confirmar si las personas de su equipo mantienen los accesos adecuados. Las cuentas sin actividad, las cuentas de contratistas con contratos finalizados y los permisos de administración merecen especial atención. De este modo, la organización corrige las desviaciones antes de que se conviertan en incidentes.
Ejemplo: El acceso que se quedó atrás
Un técnico de HSE cambia de centro y pasa a trabajar en otra región. Seis meses después, sigue viendo la documentación de los trabajadores del centro anterior, incluidos los certificados de aptitud. Nadie le retiró los accesos, porque la solicitud de cambio solo trató los nuevos permisos. Sin embargo, en una revisión de accesos, la situación se detecta y se corrige. Sin esa revisión, la organización tendría un acceso innecesario a datos personales sensibles, difícil de justificar ante una autoridad de control.
Acceso lógico y acceso físico: La misma lógica
En muchas organizaciones, el control de accesos a la plataforma documental y el control de accesos a las instalaciones los gestionan equipos diferentes. Sin embargo, la lógica es la misma: solo debe entrar quien cumple las condiciones definidas. Por eso, cuando el estado documental de un trabajador externo alimenta el sistema de accesos físicos, la organización garantiza la coherencia entre lo que dice la documentación y lo que ocurre en la portería. Además, cuando alguien deja de trabajar con la organización, la desactivación de la cuenta y la revocación de la credencial física deben producirse a la vez.
Errores comunes
- Cuentas compartidas. Los registros dejan de identificar quién realizó cada acción.
- Permisos acumulados. Quien cambia de función conserva accesos que ya no necesita.
- Exceso de administradores. Cada cuenta de administración es un objetivo privilegiado para un atacante.
- Registros que nadie consulta. Sin alertas ni análisis, los registros solo son útiles después del incidente.
- Contratistas olvidados. Las cuentas de empresas que ya no trabajan con la organización siguen activas.
Indicadores que conviene seguir
- número de cuentas con permisos de administración;
- cuentas sin actividad desde hace más de 90 días;
- porcentaje de cuentas con autenticación multifactor;
- tiempo medio entre la salida de una persona y la desactivación de su cuenta;
- intentos de acceso fallidos y alertas gestionadas.
En conjunto, estos indicadores ofrecen a la dirección una visión sencilla del estado del control de accesos, sin exigir conocimientos técnicos detallados.
Control de accesos y ciberseguridad en gestión documental: Implantación en cinco pasos
- Clasificar la información. En primer lugar, identificar qué documentos son públicos, internos, confidenciales o contienen datos personales sensibles.
- Definir perfiles. A continuación, asociar cada función a un conjunto de permisos, según el principio de mínimo privilegio.
- Reforzar la autenticación. Además, aplicar la autenticación multifactor, empezando por los administradores y las cuentas con acceso a datos sensibles.
- Activar registros y alertas. Así, los accesos y los cambios quedan trazados y los comportamientos anómalos se señalan.
- Revisar con regularidad. Por último, programar revisiones de accesos y corregir las desviaciones.
Preguntas frecuentes
¿Quién debe aprobar los permisos?
El responsable de la información, normalmente la jefatura del área que la produce o utiliza. El equipo de sistemas realiza la configuración, pero la decisión sobre quién necesita ver qué corresponde al negocio.
¿Deben tener acceso a la plataforma los contratistas?
Sí, cuando envían y actualizan su documentación, pero solo deben ver la información de su empresa y de sus trabajadores, con cuentas individuales y una autenticación adecuada.
¿Qué diferencia supone una plataforma en la nube?
En una plataforma en modalidad de servicio, parte de la seguridad es responsabilidad del proveedor, como la infraestructura, el cifrado y las copias de seguridad. Sin embargo, la gestión de usuarios, perfiles y permisos sigue correspondiendo a la organización. Por eso, conviene aclarar en el contrato quién hace qué y cómo accede la organización a los registros de auditoría.
¿Con qué frecuencia debemos revisar los accesos?
En general, al menos una vez al año para todos los usuarios y con mayor frecuencia para las cuentas de administración y de contratistas. Asimismo, las reorganizaciones, fusiones o cambios de proveedor justifican revisiones extraordinarias.
Preguntas para la alta dirección
- ¿Cuándo hicimos la última revisión de accesos a la plataforma documental?
- ¿Cuántas cuentas tienen permisos de administración y por qué?
- ¿Podemos saber quién consultó un documento sensible en el último mes?
Conclusión
En resumen, el control de accesos y la ciberseguridad en gestión documental no dependen de una tecnología aislada, sino de un conjunto coherente de reglas, perfiles, registros y revisiones. Cuando estos elementos funcionan juntos, la organización protege la información y, al mismo tiempo, puede demostrar esa protección a clientes, auditores y autoridades.
Por consiguiente, el mejor punto de partida suele ser el más sencillo: enumerar quién tiene acceso hoy, confirmar si lo necesita y corregir lo que no tenga sentido. Ese ejercicio, repetido con regularidad, ya elimina una parte importante del riesgo.
AISP-GEDOC apoya a las empresas en la gestión documental en plataformas digitales, incluida la definición de perfiles, permisos y reglas de acceso.
Lea también: Autenticación en la gestión de documentos corporativos y Registros de auditoría en plataformas de gestión documental.
Para profundizar: Gestión documental: Guía completa para empresas.