Cada cuenta compartida, cada acceso sin doble factor y cada privilegio que nadie revisa es una puerta abierta. Para una PYME, el control de accesos no es un lujo técnico: es la tesis central de este tutorial y debe aterrizar en el compromiso de servicio, no quedarse en buenas intenciones. En esta guía práctica de ciberseguridad para pymes veremos por qué el control de accesos es la base; cómo implantar cuentas nominativas, doble factor en todo, mínimo privilegio y una revisión trimestral de quién conserva acceso.
También abordaremos qué evidencias puede y debe pedir una PYME a su proveedor, cómo pasar del documento de buenas intenciones al compromiso de servicio y cómo gobernar las excepciones: cuentas de servicio y aplicaciones técnicas, sistemas heredados que no admiten MFA interactivo y accesos de proveedores externos. Finalmente, propondremos siguientes pasos para convertir estos mínimos en exigencias verificables. Si buscas una hoja de ruta realista, sin promesas vacías, para ordenar contraseñas, MFA y accesos en tu empresa, este tutorial te dará criterios concretos para decidir y pedir cuentas.
Por qué el control de accesos es la base de la ciberseguridad para pymes
En la mayoría de incidentes, el atacante no destruye la infraestructura: aprovecha una credencial válida que nadie revisó. Según el informe DBIR 2025, el abuso de credenciales fue el vector de acceso inicial más frecuente, con un 22 % (2025 Data Breach Investigations Report). Por eso la higiene de accesos es el primer filtro real de cualquier plan de ciberseguridad para pymes.
A diferencia de comprar herramientas nuevas, casi todas estas medidas ya están disponibles en las plataformas habituales de una PYME; el esfuerzo está en configurarlas, no en sumar producto.
El control de accesos suele considerarse la inversión de seguridad con mejor retorno, como criterio profesional ampliamente compartido, no como una cifra medida. Su ventaja es que resulta verificable: se comprueba con registros y capturas, mientras que otras promesas quedan en declaraciones de intención. En el contexto de ciberseguridad empresas, la responsabilidad es compartida: el proveedor configura y documenta, y la dirección exige y verifica; como en toda auditoría de ciberseguridad para pymes, este artículo sirve a ambos como lista de comprobación.
Cuentas nominativas: una identidad por persona
Con la verificación sobre la mesa, la primera medida concreta es una identidad por persona. Las cuentas compartidas tipo admin, info o soporte destruyen la trazabilidad: no permiten saber quién hizo qué ni revocar el acceso de una persona concreta cuando sale de la empresa.
Exige que cada persona, interna o del proveedor, tenga su propia cuenta con nombre y apellido, y que sus acciones queden registradas en los logs del sistema. Los buzones funcionales de facturación, pedidos o atención al cliente pueden seguir existiendo, pero como buzón compartido con permiso delegado desde cuentas nominativas, nunca como cuenta de inicio de sesión.
Al firmar con un proveedor de IT, pide la lista de técnicos con acceso y la obligación de comunicar altas y bajas en un plazo definido por contrato. Exigirlo por contrato convierte esa lista en evidencia verificable. La comprobación práctica es inmediata: solicita el listado de cuentas activas del directorio o del tenant y revisa si queda alguna identidad genérica con acceso a sistemas críticos o a datos de clientes.
Doble factor en todo: la excepción hay que justificarla
Que el MFA esté disponible no significa que sea obligatorio. Debe forzarse por política para todas las cuentas humanas, sin opción de saltarlo ni de aplazarlo indefinidamente.
Orden de prioridad razonable: correo electrónico, acceso remoto por VPN o escritorio remoto, panel de administración y cualquier cuenta con permisos de administrador.
Como método, aplicación de autenticación o llave física, con preferencia por aplicación de autenticación o llave física sobre el SMS. En su nivel más alto, NIST SP 800-63B exige autenticadores resistentes al phishing.
La resistencia interna baja con medidas de usabilidad y un mensaje claro al equipo: se protege el acceso, no la contraseña.
Evidencia a pedir: captura de la política de acceso condicional vigente y un informe con las cuentas sin MFA registrado a una fecha concreta.
Con el doble factor forzado, el siguiente exceso que conviene recortar son los permisos acumulados.
Mínimo privilegio: solo lo necesario y solo mientras dure la tarea
Con el MFA ya forzado, el siguiente filtro es el permiso: hasta dónde llega cada identidad una vez dentro. El mínimo privilegio aplica el criterio del control AC-6 de NIST SP 800-53: solo el acceso necesario para la tarea asignada.
- Permisos por rol. El rol de administrador global se reserva a quien administra la plataforma. No es un privilegio para todo el equipo técnico ni para la dirección por comodidad.
- Cuentas separadas. La cuenta de administración no debe ser la del correo diario. Así, un correo fraudulento recibido por la mañana no entrega el control del entorno.
- Permisos heredados. Revisar carpetas compartidas, SharePoint, ERP y facturación: ahí sobreviven accesos de proyectos y departamentos ya desaparecidos.
- Privilegios temporales. Elevar el permiso para una tarea concreta y retirarlo al terminar es más seguro que mantener el rol de forma permanente.
- Registro de excepciones. Cada privilegio extra debe documentarse con quién lo aprobó. Lo que hoy es una excepción cómoda mañana será un punto de entrada.
Definirlo por escrito sirve de poco si nadie comprueba después quién conserva cada permiso.
Revisión trimestral de accesos: quién sigue teniendo la llave
La revisión trimestral es una práctica razonable, no una cifra respaldada por estudios: encaja con el ciclo habitual de altas, bajas y cambios de rol de una PYME y es fácil de recordar. Cada vuelta cubre las altas y bajas del trimestre, las cuentas de personas que ya no trabajan en la empresa, los accesos de subcontratas y la lista completa de administradores.
Necesita un responsable con nombre dentro de la empresa, no una respuesta genérica del proveedor: alguien debe firmar el resultado y asumir cada decisión.
El formato útil es un inventario por sistema con titular, tipo de permiso, fecha de alta y decisión tomada: mantener, degradar o eliminar. Sigue así el ciclo de vida de los accesos y la exigencia de que los propietarios acepten formalmente sus responsabilidades, recogida en el Anexo 9 de ISO/IEC 27002.
Guarda cada acta trimestral: es la prueba documental de diligencia y el primer documento que se pedirá ante un incidente o un cuestionario de cliente corporativo. Si delegas parte de esta labor en un soporte informático externo para PYMEs, la firma sigue siendo tuya.
Qué evidencias puede y debe pedir una PYME a su proveedor
La revisión trimestral solo tiene valor si produce documentos verificables. Pide siempre por escrito y con fecha:
- Inventario de usuarios y privilegios con fecha de emisión, no una confirmación verbal de que todo está controlado.
- Informe de altas y bajas del periodo, con la fecha exacta en que se revocó cada acceso tras una salida o un cambio de puesto.
- Captura de las políticas de MFA y acceso condicional vigentes, junto con la lista de cuentas eximidas y su justificación por escrito.
- Registro de accesos administrativos: quién se conectó, cuándo y a qué sistema. Es la evidencia clave para una auditoría interna y, sobre todo, si la PYME trabaja con clientes grandes que auditan a sus proveedores.
Este último punto conecta con otros controles que conviene exigir igual, como la configuración real del firewall para PYMEs más allá de los valores por defecto.
El formato y la frecuencia de estos registros deben quedar fijados en el contrato, no en la buena voluntad.
Del documento de buenas intenciones al compromiso de servicio
Con esas evidencias sobre la mesa, el paso siguiente es dejar de tratarlas como una cortesía. El error más frecuente es encerrar estas medidas en una política de seguridad en PDF que nadie aplica; su lugar es el contrato o el acuerdo de nivel de servicio, con obligaciones concretas y medibles.
Las cláusulas mínimas son cinco: una cuenta nominativa por técnico, MFA obligatorio en todas las cuentas humanas, mínimo privilegio por defecto, revisión trimestral documentada y un plazo de revocación tras cada baja. Ese plazo debe fijarse por escrito, tanto para desactivar el acceso de un empleado que sale como para comunicar el cambio de un técnico del proveedor.
Fijar consecuencias completa el mecanismo: qué ocurre si no se entrega el informe o si la revisión se retrasa, y en qué reunión periódica se revisa el cumplimiento, todo ello con las herramientas ya disponibles. Criterio que conviene aplicar también al coste real del soporte informático externo para PYMEs, donde la clave es saber qué partidas ya vienen incluidas.
Cuentas de servicio, sistemas heredados y accesos de terceros: las excepciones hay que gobernarlas
La regla de MFA en todo choca con aplicaciones técnicas y sistemas antiguos, y también con accesos de terceros. No conviene fingir que no existen: cada excepción debe ser consciente, documentada y revisada; igual que un soporte no se mide solo por tickets cerrados, una excepción no se justifica con una promesa verbal.
En ciberseguridad para pymes, ese registro necesita cinco campos: sistema afectado, motivo, riesgo aceptado, responsable y fecha de próxima revisión.
Y una prohibición tajante: nunca usar la cuenta personal de un técnico como cuenta de servicio. Cuando esa persona se marcha, la aplicación sigue funcionando y nadie sabe con qué credencial ni con qué permisos.
Cuentas de servicio y aplicaciones técnicas
Dentro de ese gobierno de excepciones, las cuentas de servicio merecen un tratamiento propio, porque no las usa una persona y nadie las echa de menos.
Cada una debe tener nombre propio, propósito documentado y permisos mínimos. Su contraseña, larga y aleatoria, se guarda en un gestor de secretos, nunca en una hoja de cálculo compartida.
Siempre que la plataforma lo permita, sustituye la contraseña por un certificado o una identidad administrada: desaparecen la credencial olvidada y la rotación pendiente.
Y revisa cada trimestre si la cuenta sigue siendo necesaria. Una credencial activa de un proyecto ya cerrado es acceso residual esperando a ser encontrado. Documentar cada cuenta así simplifica la siguiente tarea: los sistemas heredados.
Sistemas heredados que no admiten MFA interactivo
Un caso más difícil es el de los sistemas heredados que no admiten MFA interactivo. Aíslelo de la red general: no lo exponga directamente a Internet, publíquelo solo a través de VPN o de un acceso intermedio con MFA. Si el fabricante ya no ofrece soporte ni actualizaciones, fije una fecha límite de sustitución y trate el riesgo como aceptado, con un dueño identificado, no como deuda eterna sin plan. Como no puede aplicar un segundo factor, registre y monitorice todos los accesos: los logs son la única evidencia para detectar un acceso anómalo.
Accesos de proveedores externos y terceros
El mismo criterio aplica a los terceros que acceden desde fuera. Cada técnico del proveedor necesita su propia cuenta nominativa y temporal, con fecha de caducidad, en lugar de una credencial genérica de soporte compartida entre varias personas.
Al cerrar el proyecto, o si el técnico cambia de empresa, el acceso se revoca de inmediato y se pide confirmación por escrito de esa revocación. Conviene fijar por contrato quién custodia los registros de acceso del proveedor y cuánto tiempo se conservan, sobre todo cuando ese tercero trata datos de clientes o de empleados.
El acceso se concede solo cuando la tarea lo requiere, y la sesión se registra cuando la herramienta lo permite, para poder reconstruir qué se hizo y sobre qué sistemas. Con esto se cierra el bloque de excepciones y accesos externos.
Siguientes pasos: convierte estos mínimos en exigencias
Gobernar los accesos de terceros era la última pieza técnica. Ahora toca convertir la lista en exigencias verificables, y el orden importa menos que empezar.
Como primer acto, solicita el inventario de cuentas con fecha de emisión, el documento base de todo lo anterior.
Exige el informe de MFA con excepciones justificadas antes de cualquier negociación de plazos.
En la próxima renovación o revisión de contrato, incorpora tres cláusulas: revisión trimestral documentada, plazos de revocación tras una baja y evidencias entregables con formato y frecuencia definidos.
Agenda ya la primera revisión trimestral: fecha, responsable con nombre y formato de acta. Firma el acta y archívala.
Estas medidas encajan en el área de seguridad, compliance y administración de identidades de un partner externo de ciberseguridad para pymes. El criterio de exigencia y la firma de la revisión, en cambio, corresponden siempre a la empresa.
Conclusion
Gobernar accesos no es un documento, es una práctica exigible. Tres ideas se sostienen: identidades nominativas y MFA en todas las cuentas humanas; mínimo privilegio con revisiones trimestrales documentadas; y excepciones, cuentas de servicio y terceros bajo control, con registros y evidencias. Sin inventario ni actas, no hay control real.
El inventario de cuentas que ya debes haber pedido es tu primera evidencia. Tu partner externo de ciberseguridad para pymes puede ayudarte en seguridad, compliance y administración de identidades, pero el criterio y la firma son tuyos. Convierte estos mínimos en compromisos medibles. Así proteges a clientes, empleados y la continuidad de tu negocio. Empieza ahora; cada revisión firmada es una barrera más sólida.
