Notes From a Recent Planning Session

La sesión arrancó con un caso concreto que trajo un cliente del rubro logístico: tres personas compartían la misma cuenta del sistema de facturación, nadie recordaba quién había dado de alta a un proveedor el mes anterior y el correo del área comercial tenía el segundo factor desactivado porque "molestaba cuando salíamos a visitar clientes". No era un caso extremo. Era, más bien, el patrón que se repite cuando una empresa crece rápido y las herramientas se van sumando sin una regla común.

Lo primero que anotamos en el pizarrón fue separar dos cosas que suelen mezclarse: accesos y credenciales. Los accesos son permisos sobre sistemas, carpetas y paneles. Las credenciales son las llaves con las que se entra. Una pyme puede tener pocas credenciales y muchos accesos mal repartidos, o al revés. Confundirlos lleva a decisiones raras, como cambiar contraseñas cada treinta días sin revisar quién sigue teniendo permiso de administrador en la plataforma de pagos.

Lo que quedó anotado en el pizarrón

Durante la reunión aparecieron tres observaciones que vale la pena dejar por escrito, porque no dependen del tamaño de la empresa ni del sector:

• El inventario de cuentas es más aburrido y más útil que cualquier herramienta nueva. Antes de evaluar un gestor de contraseñas o un proveedor de identidad, conviene listar en una planilla qué servicios usa la empresa, quién los administra y qué pasa si esa persona no está disponible una semana.
• El segundo factor no es una casilla, es un procedimiento. Activar MFA en el correo y en la banca resuelve la mitad del problema. La otra mitad es definir cómo se da de alta un teléfono nuevo, qué hacer si alguien pierde el dispositivo y quién autoriza esos cambios fuera del horario laboral.
• Las copias de seguridad se prueban o no existen. Un backup que nunca se restauró en un entorno de prueba es una promesa, no un respaldo. En la sesión quedó como tarea pendiente definir una frecuencia de prueba realista, aunque sea trimestral.

También discutimos el tema del phishing, que suele aparecer en estas conversaciones como una preocupación difusa. La conclusión fue que no sirve enviar un PDF de concientización una vez al año. Sirve más acordar un canal de verificación: si llega un pedido de cambio de datos bancarios, se confirma por teléfono con un número conocido, no respondiendo al mismo correo. Es una regla simple, pero necesita que alguien del equipo tenga la autoridad para detener una operación sin quedar como el que traba todo.

Qué sigue después de esta sesión

La reunión no terminó con un plan cerrado. Terminó con una lista corta de decisiones que el cliente tiene que tomar antes de que nosotros podamos avanzar: quién será el responsable de la bóveda de credenciales, qué sistemas entran en la primera etapa y cuánto tiempo tolera la empresa un bloqueo por MFA mal configurado. Son preguntas incómodas, pero son las que definen si el despliegue se sostiene o se abandona a las dos semanas.

Si algo quedó claro es que la seguridad de cuentas en una pyme no se resuelve comprando la herramienta más completa. Se resuelve ordenando quién tiene qué, dejando registro de los cambios y aceptando que algunas rutinas van a ser más lentas al principio. El resto viene después.