Contraseñas compartidas en la empresa: cómo dejar de usar el post-it

En casi cualquier oficina pequeña hay tres sitios donde viven las contraseñas: un Excel en una carpeta compartida, un grupo de WhatsApp y un post-it pegado al monitor. Funciona hasta que deja de funcionar: alguien cambia una clave y no avisa, se va un empleado, o un correo falso consigue que alguien escriba la contraseña del banco donde no debía.

Organizar esto no requiere un proyecto de meses. Requiere tomar cuatro decisiones y dedicarles una tarde.

Primero: haz la lista

Antes de elegir herramientas, hay que saber qué hay. Siéntate diez minutos y anota todos los servicios con clave que usa el negocio: correo, banco, gestoría, Seguridad Social y Hacienda, tienda online, redes sociales, proveedor de hosting, el router, el NAS, la centralita, el programa de facturación, las cámaras.

Casi siempre aparecen dos sorpresas. La primera, servicios que nadie recuerda haber contratado pero que siguen cobrando. La segunda, cuentas cuya contraseña solo conoce una persona, que además está de vacaciones.

Segundo: separa lo personal de lo compartido

Hay dos tipos de acceso y conviene no mezclarlos.

Las cuentas personales (el correo de cada empleado, su usuario del ordenador, su acceso al programa de gestión) deben ser individuales, sin excepciones. Si tres personas entran con el mismo usuario, no hay forma de saber quién hizo qué, ni de cortar el acceso a una sola cuando se marcha.

Las cuentas compartidas son las que, por su naturaleza, pertenecen a la empresa y no a una persona: el correo de info@, el perfil de la empresa en un portal, el acceso al hosting. Esas sí hay que compartirlas, pero de forma controlada.

Tercero: un gestor de contraseñas, no un Excel

Un gestor de contraseñas es un programa que guarda las claves cifradas y las rellena solo cuando toca. La ventaja práctica no es tanto la seguridad teórica como el día a día: puedes dar acceso a una clave concreta a una persona concreta, cambiarla en un sitio y que todos la tengan actualizada, y quitarle el acceso a alguien sin tener que cambiar veinte contraseñas a mano.

Hay opciones para empresa muy asequibles y también gratuitas para equipos pequeños. Lo importante es que la use todo el mundo: un gestor que solo usa la mitad de la plantilla no sirve de nada, porque el Excel seguirá vivo.

Y una regla que ahorra disgustos: las contraseñas no se mandan por WhatsApp ni por correo. Si hay que pasarle una clave a alguien, se comparte desde el gestor o se le da por teléfono.

Cuarto: verificación en dos pasos donde más duele

Activar el doble factor en todo a la vez genera rechazo. Empieza por lo que haría más daño si se perdiera: el correo de la empresa, el banco y el acceso al hosting o al dominio web. El correo es el primero de la lista porque desde él se recuperan casi todas las demás contraseñas.

Dos avisos prácticos. Guarda los códigos de recuperación que te da cada servicio al activarlo, porque el día que se rompa un móvil los vas a necesitar. Y en las cuentas compartidas, usa una aplicación de códigos que permita que más de una persona los genere, en lugar de atar el segundo factor al móvil personal de un solo empleado.

Qué ganas con esto

Ganas poder despedirte de un trabajador sin sudores fríos, poder entrar al hosting aunque el informático de siempre esté ilocalizable y reducir mucho el daño de un correo de phishing bien hecho.

Si quieres que revisemos cómo están hoy los accesos de tu empresa y te ayudemos a ordenarlos, hablamos.