Recursos / Notas de campo

A Practical Look at the First Week

Lo que realmente pasa cuando una pyme de Buenos Aires decide ordenar sus accesos en siete días, sin frenar la operación.

Publicado el 14 de marzo de 2025 · Lectura de 6 minutos

La primera semana casi nunca se parece al plan escrito. En una empresa chica, el correo, la banca y las herramientas de gestión se tocan todos los días, y cualquier cambio en la forma de entrar deja huella inmediata. Lo que sigue son observaciones de esa semana inicial: qué decisiones se toman rápido, cuáles se postergan y por qué algunas reglas terminan ajustándose antes del viernes.

El inventario de cuentas siempre sorprende

Antes de activar MFA o mover credenciales a un gestor, hay que saber qué existe. En la práctica, el listado real suele incluir dos o tres servicios que nadie recordaba: una cuenta de facturación electrónica, un panel de hosting viejo, una herramienta que usa solo una persona. Ese inventario no se completa en una reunión. Se arma preguntando por área y revisando qué se abre al iniciar el día.

MFA: dónde conviene empezar y dónde esperar

Activar el segundo factor en todo al mismo tiempo genera fricción innecesaria. Lo que funciona mejor es priorizar por impacto: correo corporativo, banca y accesos administrativos primero. Después, las herramientas de uso diario. La razón es simple: si algo se bloquea, el equipo necesita un canal claro para resolverlo sin improvisar. En esa primera semana, la pregunta más repetida no es cómo funciona MFA, sino a quién llamar cuando el teléfono cambió de número.

Copias de seguridad y control de accesos: dos frentes que se cruzan

Las copias de seguridad suelen quedar fuera del primer sprint, y es un error. Si los accesos se están reordenando, es el momento de revisar quién puede restaurar, quién puede borrar y con qué frecuencia se prueba una recuperación. No hace falta una infraestructura compleja: alcanza con saber si el respaldo existe, dónde vive y quién tiene la llave. Ese dato, en una pyme, muchas veces no está escrito en ningún lado.

Phishing: la rutina que se instala sin darse cuenta

Durante la primera semana aparecen los mensajes que imitan facturas o pedidos de clientes. La defensa no es técnica: es una regla simple de verificación por un canal distinto al que llegó el pedido. Cuando esa rutina se practica dos o tres veces, deja de ser una política y pasa a ser costumbre. Esa transición es, quizás, el indicador más honesto de que la semana sirvió.

Al cierre de esos siete días, lo que cambió no fue la tecnología disponible, sino la cantidad de decisiones que ya no se toman a ciegas. Quedan pendientes: documentar el procedimiento de altas y bajas, definir quién administra la bóveda de credenciales y agendar la primera prueba de restauración. Nada de eso se resuelve en una semana, pero la primera semana es la que define si el resto tiene sentido.

A Practical Look at the First Week

Cuando una pyme arranca con el principio de mínimo acceso, la primera semana suele mezclar expectativas razonables con supuestos que conviene aclarar antes de que se conviertan en discusiones. Estas son las aclaraciones que repetimos en cada arranque, porque marcan la diferencia entre un despliegue ordenado y un ida y vuelta de correos.

No es una auditoría de cumplimiento

La primera semana no emite certificaciones ni reemplaza una revisión legal o contable. Se limita a ordenar cuentas, roles y respaldos. Si tu empresa necesita un informe con validez regulatoria, ese trabajo se planifica aparte y con otro alcance.

MFA no se activa en todo a la vez

Empezamos por correo, banca y herramientas de gestión. El resto de los servicios entra en la segunda o tercera semana, cuando el equipo ya incorporó la rutina del segundo factor y sabemos qué dispositivos necesitan excepciones documentadas.

Las copias de seguridad no son instantáneas

Definir qué se respalda, cada cuánto y dónde se guarda toma más tiempo que ejecutar el respaldo. Durante los primeros días trabajamos con la política actual y recién después proponemos cambios. Prometer una copia "en tiempo real" sin revisar el volumen de datos sería una aclaración falsa.

El gestor de contraseñas no reemplaza criterios

Centralizar credenciales reduce la reutilización, pero no decide quién puede ver qué. Esa decisión sigue siendo de la empresa. En la primera semana dejamos la bóveda armada y las reglas de compartición escritas; la asignación fina de permisos se ajusta con el uso real.

Phishing: capacitamos, no simulamos engaños

No enviamos correos falsos para "medir" al equipo. Trabajamos con señales observables y un canal de verificación para cambios de datos bancarios o pedidos urgentes. Si más adelante se quiere un ejercicio formal, se acuerda con el área correspondiente.

Los accesos temporales tienen fecha de cierre

Cuando alguien deja la empresa o cambia de rol, el acceso no se "desactiva cuando se pueda". Se cierra en un plazo definido y queda registrado. Esa es la parte del mínimo acceso que más se posterga y la que más problemas evita.

Estas aclaraciones no buscan limitar el trabajo, sino evitar que la primera semana se convierta en una negociación de expectativas. Si algo de lo anterior no coincide con lo que tu empresa necesita, conviene plantearlo antes de empezar y no a mitad del despliegue.

A Practical Look at the First Week

Cuando una pyme arranca con MFA obligatorio, gestor de contraseñas y reglas de mínimo acceso, los primeros siete días concentran casi todas las dudas. Detrás de ese acompañamiento hay un equipo chico, con roles definidos y experiencia en entornos donde no se puede frenar la operación para "probar".

Mariana Ferreyra

Líder de despliegue de identidad

Coordina la activación de MFA en correo, banca y herramientas de gestión. Viene de proyectos en estudios contables y clínicas donde cada hora sin acceso tiene costo. Su trabajo empieza por mapear quién necesita qué antes de tocar cualquier configuración.

Diego Salvatierra

Analista de accesos y credenciales

Define la estructura de la bóveda compartida: quién administra, cómo se otorgan accesos temporales y qué ocurre cuando alguien deja la empresa. Trabajó en soporte interno antes de pasar a seguridad, así que conoce el costo real de una recuperación mal planificada.

Lucía Bermúdez

Respuesta ante incidentes y phishing

Acompaña al equipo durante la primera semana con criterios simples para verificar pedidos sospechosos: cambios de CBU, facturas urgentes, enlaces que llegan fuera de horario. Prefiere rutinas cortas que se sostengan en el tiempo antes que protocolos extensos que nadie consulta.

Lo que se repite en cada arranque

En la mayoría de los casos, el primer obstáculo no es técnico: es la resistencia a cambiar hábitos. Alguien tiene la contraseña del sistema de facturación en un papel, otro comparte la cuenta de correo con un compañero, y el administrador del gestor es la misma persona que atiende clientes. El equipo de SingleSec trabaja sobre esas costumbres concretas, no sobre un manual genérico. La experiencia acumulada en pymes de Buenos Aires permite anticipar qué decisiones conviene postergar y cuáles no admiten espera.

A Practical Look at the First Week

Cuando arranca un despliegue de MFA y gestor de contraseñas en una pyme, los primeros cinco días concentran casi todas las consultas. No son fallas del sistema: son dudas de uso. Alguien no encuentra el código en el teléfono, otro perdió el acceso al correo de respaldo, una tercera persona necesita entrar desde una computadora compartida. Ese volumen inicial es normal y conviene planificarlo en lugar de improvisarlo.

En SingleSec atendemos estas consultas por dos vías: correo a equipo@singlesec.com y teléfono al +54 11 5482-6173. El correo sirve para casos que requieren revisar configuración, capturas o registros de acceso. El teléfono funciona mejor cuando alguien quedó bloqueado y necesita resolverlo en el momento, sin esperar respuesta escrita.

Tiempos de respuesta

Bloqueos de acceso: Atención telefónica en el día, con prioridad sobre otras consultas.
Dudas de configuración: Respuesta por correo dentro de las 24 horas hábiles.
Altas y bajas de usuarios: Se procesan en la misma jornada si llegan antes de las 16 h.
Consultas generales: Hasta 48 horas hábiles, según el orden de llegada.

Antes de escribir, vale la pena revisar las preguntas frecuentes: muchas dudas de la primera semana ya están resueltas ahí y se contestan más rápido que por correo. Ver preguntas frecuentes o escribir al equipo si el caso es particular.