En un negocio pequeño con pocas personas es habitual compartir contraseñas: la del correo de pedidos, la de la tienda online, la del banco o la de las redes sociales. Hacerlo con orden evita bloqueos, sustos y accesos que nadie controla. Pero, ¿cómo repartir las claves compartidas del equipo de la manera más ordenada, sin perder de vista quién entra en cada sitio?
La comodidad pesa, y las claves acaban circulando por mensajes, notas adhesivas o una hoja de cálculo. Ponerle método no exige grandes inversiones, sino decidir unas reglas y cumplirlas.
Por qué los atajos de siempre salen caros
Enviar una clave por WhatsApp o por correo parece inofensivo. Sin embargo, ese mensaje queda guardado en varios dispositivos y en copias de seguridad que nadie revisa. Si un móvil se pierde o una cuenta de correo se ve comprometida, la contraseña viaja con él.
Algo parecido ocurre con el documento compartido llamado «claves». Cualquiera con acceso a la carpeta puede leerlo, copiarlo o reenviarlo, y no queda registro de quién lo ha consultado.
El tercer atajo es usar la misma clave para todo. Si un ciberdelincuente la consigue en un servicio, puede probarla en el resto. INCIBE lo describe como entregar una especie de llave maestra de todos los servicios de la empresa, y por eso recomienda no reutilizar contraseñas.
Antes de repartir, organiza las contraseñas
El primer paso para organizar contraseñas es saber cuántas hay. Dedica una mañana a listar las cuentas que usa el negocio, sin anotar todavía ninguna clave. Basta con recoger tres datos de cada una:
El servicio. Banca, facturación, tienda online, redes sociales, proveedores, dominio de la web, rúter de la oficina…
El responsable. La persona que decide quién entra y que da la cara si algo falla.
Quién lo usa. Los compañeros que necesitan ese acceso para su trabajo diario.
Pensemos en una clínica de fisioterapia con cuatro personas. Al hacer la lista, descubre que el perfil de Instagram sigue vinculado al correo personal de una antigua empleada. También que la contraseña del programa de citas no se ha cambiado desde que lo instalaron.
Ese inventario es el mapa sobre el que se construye lo demás. Además, ayuda a detectar cuentas que ya no se usan y que conviene cerrar.
Imagen de fizkes. Licencia de iStock.
Un gestor para compartir contraseñas de forma segura
La herramienta que mejor resuelve este problema es un gestor de contraseñas con función de equipo. Guarda las claves cifradas y cada persona entra con su propia cuenta y una contraseña maestra. INCIBE los recomienda porque permiten usar claves únicas y robustas en cada servicio sin tener que memorizarlas.
Para compartir contraseñas de forma segura, la mayoría organiza las credenciales en carpetas o «cajas fuertes» compartidas. Así, el equipo de ventas ve las suyas y la gestoría externa solo las que le corresponden.
Al comparar opciones, fíjate en estos puntos:
Cifrado de extremo a extremo, de modo que ni el proveedor pueda leer las claves.
Generador de contraseñas largas y aleatorias, para dejar atrás las fáciles de adivinar.
Permisos por carpeta, con opción de dejar usar una clave sin mostrarla en pantalla.
Registro de actividad, para saber quién ha consultado o cambiado cada acceso.
Acceso desde el móvil y el ordenador, con verificación en dos pasos para entrar en el propio gestor.
No hace falta la opción más completa del mercado. Para un equipo de cinco personas suele bastar con un plan sencillo, siempre que todo el mundo lo use y nadie mantenga claves por fuera.
Imagen de visualspace. Licencia de iStock.
Cada persona, solo con los accesos que necesita
Compartir no significa que todos vean todo. La pauta más útil es la del mínimo privilegio: cada persona accede únicamente a lo que necesita para su trabajo.
En la clínica del ejemplo, la recepcionista usa la agenda de citas y el correo general. El fisioterapeuta que lleva las redes entra en Instagram. La banca online queda en manos de la gerente y, como respaldo, de una segunda persona de confianza.
Antes de compartir una clave, comprueba si el servicio permite crear usuarios individuales. Muchas plataformas de facturación, tiendas online o redes sociales lo ofrecen, a veces sin coste. Con usuarios propios, cada acción queda asociada a una persona y retirar un acceso no obliga a cambiar la clave de todos.
Las cuentas que solo admiten un usuario son las que de verdad hay que compartir. Esas merecen especial atención en el gestor.
Verificación en dos pasos, también en las cuentas compartidas
La verificación en dos pasos añade una comprobación extra a la contraseña, como un código en el móvil. Si alguien roba la clave, no le basta para entrar.
En una cuenta compartida surge una duda práctica: ¿a qué móvil llega el código? Lo ordenado es vincularlo a una línea de empresa, no al teléfono personal de un empleado. Otra opción es que el propio gestor genere los códigos temporales, si lo permite, para que el equipo autorizado pueda usarlos.
Guarda también los códigos de recuperación en un lugar seguro. Son la salida si se pierde el dispositivo, como ya vimos al hablar de proteger los dispositivos de tu empresa.
Altas, bajas y cambios: cuándo renovar las claves
El momento delicado llega cuando alguien entra o sale del equipo. Con una persona nueva, se le crea su usuario en el gestor y se le asignan las carpetas de su puesto. Nada de pasarle la lista por correo el primer día.
Cuando alguien se marcha, retira su acceso al gestor ese mismo día y cambia las contraseñas compartidas que conocía. Revisa también qué cuentas estaban vinculadas a su correo o a su número de móvil y trasládalas a datos de la empresa.
Hay otras situaciones que justifican renovar una clave cuanto antes:
Un aviso de inicio de sesión que nadie reconoce.
Una filtración en un servicio que usáis.
Un dispositivo perdido o robado con sesiones abiertas.
Un mensaje sospechoso que alguien ha respondido, como en los casos de vishing o CEO Fraud.
Para no improvisar, reserva una revisión trimestral. Comprueba quién tiene acceso a cada carpeta y si siguen haciendo falta todas las cuentas.
Unas normas sencillas que todo el equipo conozca
La herramienta funciona si el equipo sabe cómo usarla. Recoge en una página las reglas básicas y repásalas en una reunión breve:
Las claves solo se guardan y se comparten desde el gestor.
Nadie pide ni envía contraseñas por mensaje, correo o teléfono.
Cada servicio tiene una clave distinta, generada por la herramienta.
Ante cualquier sospecha, se avisa al responsable sin esperar.
Esa última norma es importante. Avisar pronto de un error debe ser lo normal y no motivo de reproche, porque cada hora cuenta.
Compartir contraseñas con orden forma parte de los hábitos de ciberseguridad de tu negocio, igual que mantener copias de seguridad al día. Si también quieres revisar los servicios de ciberseguridad que necesita tu empresa, visita nuestra web o llama gratis al 900 622 314 para conocer nuestras opciones.
