Control de accesos: quién debería ver qué datos en tu empresa

La gerente de una empresa de servicios contables en Santiago con 18 personas descubrió, cuando uno de sus asistentes renunció en malos términos, que ese empleado había tenido acceso completo a las remuneraciones de toda la plantilla, las fichas financieras de los clientes y los contratos vigentes. Todo porque cuando entró, hace tres años, “le dieron acceso completo para que pudiera trabajar rápido”. El daño no fue un hackeo externo: fue una mala configuración de permisos internos.

Este escenario se repite en la mayoría de las pymes chilenas. No porque haya mala intención, sino porque nadie se detuvo a pensar quién realmente necesita ver qué.

Por qué el “todos ven todo” es un riesgo real

La lógica de darle acceso total a todos parece cómoda: nadie llama diciendo que no puede abrir un archivo, nadie espera que le habiliten una carpeta. Pero esa comodidad tiene un precio que se paga tarde o temprano.

Los riesgos concretos de no tener control de accesos son tres: primero, si un atacante externo compromete la cuenta de cualquier empleado, tiene acceso inmediato a absolutamente todo. Segundo, si un empleado comete un error accidental, puede borrar o modificar información crítica a la que no debería haber llegado. Tercero, si alguien se va de la empresa con malas intenciones, puede llevarse o filtrar información valiosa sin que quede rastro claro de qué tomó.

Ninguno de estos escenarios requiere sofisticación técnica. Solo requiere que no hayas definido quién puede ver qué.

El principio de mínimo privilegio explicado simple

En seguridad informática existe un concepto central llamado “principio de mínimo privilegio”. La idea es tan sencilla como poderosa: cada persona en tu organización debería tener acceso únicamente a la información y los sistemas que necesita para hacer su trabajo, y nada más.

No es una medida de desconfianza hacia el equipo. Es higiene operacional. El mismo principio aplica en el mundo físico: el recepcionista de una clínica tiene llave de la entrada, no de la bodega de medicamentos. Eso no significa que no sea de confianza, significa que no necesita acceder ahí para hacer su trabajo.

Aplicado a la tecnología: el ejecutivo de ventas debería ver el CRM y los contratos de sus cuentas, no los sueldos del equipo ni los estados financieros de la empresa. La persona de RRHH debería ver las fichas del personal, no los datos bancarios de los clientes. El contratista externo debería ver solo los proyectos en los que trabaja, no el historial completo de la empresa.

Cómo categorizar los datos por sensibilidad

Antes de definir permisos, necesitas entender qué tipo de datos maneja tu empresa. Una forma práctica es usar tres niveles:

• →Datos públicos o de uso general: información que cualquier integrante del equipo puede ver sin riesgo. Manuales de procedimientos, políticas internas, materiales de onboarding, documentos de trabajo compartidos. Aquí el acceso amplio es conveniente.
• →Datos internos restringidos: información que solo ciertos roles necesitan. Datos de clientes, historial de ventas, proyecciones financieras, fichas de proveedores. Acceso por área y cargo, con registro de quién accedió cuándo.
• →Datos confidenciales o críticos: información que solo gerencia o roles específicos deberían ver. Remuneraciones, contratos de socios, estados financieros completos, datos de salud, información estratégica sensible. Acceso mínimo, auditoría activa.

Este ejercicio de categorización, que puede hacerse en una tarde con un spreadsheet simple, es el punto de partida para cualquier política de control de accesos.

Cómo implementarlo en las herramientas que ya usas

La buena noticia es que no necesitas software nuevo. Las herramientas que probablemente ya tienes permiten implementar control de accesos hoy mismo:

• →Google Drive o Microsoft OneDrive: organiza las carpetas por área y nivel de sensibilidad. Comparte cada carpeta solo con los grupos que la necesitan. Evita los “acceso para todos con el link” en documentos internos. Usa grupos de Google o grupos de Microsoft 365 para administrar por rol, no por persona individual.
• →Correo corporativo (Google Workspace o Microsoft 365): define quién puede acceder al buzón de quién, limita las cuentas de servicio compartidas y activa los logs de acceso para detectar entradas inusuales. Cuando alguien se va de la empresa, desactiva su cuenta ese mismo día.
• →ERP o sistema de gestión: la mayoría de los ERP disponibles en Chile (como Defontana, SAP Business One, o Bsale) tienen módulos de roles y permisos. Configura perfiles por cargo: el vendedor ve lo que necesita para vender, el bodeguero ve el inventario, contabilidad ve las cuentas. Evita los perfiles de “superusuario” para más de dos personas.
• →CRM: herramientas como HubSpot, Pipedrive o Salesforce permiten que cada ejecutivo vea solo sus cuentas, mientras los gerentes ven el panorama completo. Esto no solo es seguridad: también evita que un vendedor que se va se lleve toda la base de clientes.

Quién es responsable de administrar los accesos

Uno de los problemas más comunes en pymes es que nadie es formalmente responsable de los accesos. El resultado: cuando alguien entra a la empresa le dan acceso a todo de apuro, y cuando alguien se va nadie recuerda revocar sus permisos. En Lumus hemos encontrado empresas donde ex-empleados de hace dos años todavía podían acceder al Google Drive corporativo.

La solución no requiere contratar a nadie nuevo. Requiere definir un proceso simple:

• →Designa un responsable de accesos: puede ser el gerente general, un encargado de TI externo o quien sea más ordenado del equipo. Lo importante es que haya una sola persona que aprueba y revoca accesos.
• →Crea un checklist de onboarding y offboarding: cuando alguien entra, hay una lista de los accesos que se activan según su cargo. Cuando alguien sale, hay una lista de todo lo que se revoca ese mismo día. Sin excepciones.
• →Revisa los accesos cada seis meses: las personas cambian de rol, los proyectos terminan, los proveedores externos dejan de trabajar contigo. Una revisión semestral de quién tiene acceso a qué toma dos horas y evita acumulación de permisos innecesarios.

Implementar control de accesos básico en una pyme de 20 personas toma entre uno y tres días de trabajo. El tiempo es mínimo comparado con el riesgo que elimina. Y el costo, en la mayoría de los casos, es cero: usas las herramientas que ya tienes, solo organizadas de manera diferente.