Las llaves de la oficina que nunca recuperaste
Pensá en esa oficina donde trabajaste hace tres años. Cuando renunciaste, ¿tu jefe te pidió que devolveras el carnet de acceso? ¿Te quitaron la llave de la bodega? ¿Cambiaron el código del cuarto de servidores? Ahora pensá: ¿te revocaron el acceso al correo corporativo, al sistema de facturación, al CRM, al repositorio de documentos, al canal de Slack, a la cuenta de AWS, al panel de Google Analytics? Probablemente no. Y si no lo hicieron contigo, tampoco lo hacen con los demás.
Este escenario silencioso se repite miles de veces en empresas de toda Centroamérica. No hace falta un hacker sofisticado ni un ataque elaborado. A veces, la amenaza más seria tiene nombre y apellido: un ex empleado con acceso activo, ya sea por descuido, por falta de procesos, o simplemente porque nadie en la empresa sabe con exactitud a qué sistemas tenía acceso.
La Gestión de Identidades y Accesos, conocida en inglés como IAM (Identity and Access Management), es el conjunto de políticas, procesos y herramientas que responde a una pregunta fundamental: ¿quién tiene acceso a qué, desde dónde, y con qué nivel de privilegio? Dominar esta disciplina no es un lujo para grandes corporaciones. Es una necesidad básica para cualquier empresa que tenga más de cinco empleados y use más de un sistema de software.
El problema de las cuentas huérfanas
Una cuenta huérfana es cualquier cuenta de usuario activa que ya no pertenece a nadie con una razón legítima para usarla. Son de varios tipos:
Según datos del informe Identity Security Threat Landscape de CyberArk (2024), el 40% de las organizaciones tienen accesos de exempleados activos durante más de 30 días después del despido. Y según Verizon DBIR, el 74% de las brechas de seguridad involucran acceso a credenciales, legítimas o robadas.
En Centroamérica, el escenario es particularmente común en empresas con alta rotación, como call centers, restaurantes de franquicia, y PYMEs de servicios donde nadie tiene un proceso formal de offboarding de TI.
Un caso que podría ser el tuyo
Una empresa distribuidora de alimentos en Honduras con 80 empleados. En 2023 despidieron a su administrador de sistemas por desempeño. Se hizo la liquidación, se devolvieron los equipos, y se dio por terminado el proceso. Lo que nadie hizo fue revocar su acceso al panel de administración del ERP, al servidor de correo, ni al sistema de backups en la nube.
Seis meses después, alguien accedió al sistema de backups con esas credenciales y eliminó tres meses de respaldos. No hubo evidencia de que se robara información, pero la empresa pasó dos semanas sin poder recuperar datos históricos de clientes y tuvo que reconstruir registros manualmente.
Costo estimado: $18,000 en horas de trabajo y pérdida de productividad. Sin contar el daño a la reputación con clientes que notaron inconsistencias en sus historiales de pedidos.
Principio de mínimo privilegio: no le des la llave maestra al mensajero
El principio de mínimo privilegio (Principle of Least Privilege, o PoLP) es uno de los fundamentos de IAM y dice algo simple: cada usuario, aplicación y proceso debe tener acceso únicamente a los recursos que necesita para hacer su trabajo, y nada más.
Suena obvio. En la práctica, la mayoría de las empresas hace exactamente lo contrario, porque dar acceso a todo desde el primer día es más rápido y fácil que definir qué necesita cada persona.
El resultado típico sin PoLP:
Esto no solo aumenta el riesgo en caso de que una cuenta sea comprometida; también amplifica el daño potencial de un error humano. Si el asistente de marketing borra accidentalmente 500 registros porque tenía permisos de escritura que no necesitaba, ese es un IAM fallido, aunque nadie haya sido hackeado.
Cómo aplicar PoLP sin volverse loco
El ciclo de vida de una identidad digital
IAM no es solo tecnología; es gestión del ciclo de vida completo de cada identidad dentro de la organización. Ese ciclo tiene cuatro fases:
1. Aprovisionamiento (Onboarding)
Cuando un empleado entra, se crea su identidad digital con los accesos mínimos necesarios para su rol. Idealmente, esto es automático: el departamento de RRHH registra al empleado en el sistema, y ese registro activa automáticamente la creación de cuentas en los sistemas relevantes.
2. Gestión activa
Durante el tiempo que trabaja en la empresa, su identidad evoluciona. Cambió de puesto, entró a un proyecto especial, necesita acceso temporal a un sistema externo. Cada uno de estos cambios debe quedar registrado y aprobado.
3. Revisión y auditoría
Periódicamente, se auditan los accesos de todos los usuarios. Se eliminan los permisos que ya no corresponden. Se detectan cuentas dormidas que nadie usa. Se revisan quién tiene privilegios elevados y si esos privilegios siguen siendo necesarios.
4. Desaprovisionamiento (Offboarding)
Cuando un empleado sale, ya sea por renuncia, despido o jubilación, su identidad digital se desactiva de forma ordenada y completa. Todas las cuentas en todos los sistemas. Esta fase es la que la mayoría de las empresas hace mal o no hace.
Herramientas IAM: de lo simple a lo sofisticado
Buenas noticias: no necesitás gastar una fortuna para implementar IAM básico. El nivel de herramienta que necesitás depende del tamaño y complejidad de tu empresa.
Para PYMEs pequeñas (5-30 empleados)
Para PYMEs medianas (30-200 empleados)
Para empresas grandes (200+ empleados)
El offboarding de TI: una checklist mínima
Si tu empresa no tiene un proceso formal, comenzá con esta lista mínima que debe completarse el mismo día que un empleado sale:
Accesos inmediatos a revocar (en las primeras 2 horas):
Accesos a revocar en las primeras 24 horas:
Acciones adicionales:
IAM y su relación con Zero Trust y MFA
IAM no vive en un silo. Es el pilar central sobre el que se construyen otras estrategias de seguridad:
Dicho de otra forma: IAM es el sistema nervioso central de la seguridad empresarial. Todo lo demás depende de que funcione correctamente.
Señales de que tu IAM está fallando
Si alguna de estas situaciones te resulta familiar, tu gestión de identidades necesita atención urgente:
Ninguna de estas situaciones requiere un hacker para convertirse en un problema. Basta con un exempleado molesto, una brecha en un sistema externo que reutiliza credenciales, o simplemente una auditoría de cumplimiento que expone estas debilidades.
Por dónde empezar hoy
No es necesario implementar una plataforma IAM completa de golpe. Un plan progresivo en 90 días:
Semana 1-2 (Diagnóstico): Haz un inventario de todos los sistemas de la empresa y quién tiene acceso a cada uno. Una hoja de cálculo es suficiente para empezar.
Semana 3-4 (Limpieza): Revisa la lista e identifica cuentas de exempleados, cuentas genéricas y accesos que no corresponden al rol actual del empleado. Desactivalos.
Mes 2 (Proceso): Diseñá un checklist de offboarding y un proceso de aprobación para nuevos accesos. Implementá un gestor de contraseñas empresarial.
Mes 3 (Herramienta): Evaluá si el tamaño de tu empresa justifica una herramienta IAM dedicada. Incluso el nivel gratuito de plataformas como Jumpcloud cubre necesidades básicas para empresas pequeñas.
La puerta que cerraste hace tres años todavía puede estar abierta
La gestión de identidades es, en esencia, un problema de orden y proceso. No requiere tecnología extraordinaria; requiere disciplina organizacional. Saber quién tiene acceso a qué, actualizar esa información cuando algo cambia, y asegurarte de cerrar todas las puertas cuando alguien se va.
En empresas centroamericanas donde la rotación de personal es alta, donde los equipos de TI son pequeños y donde los sistemas se acumulan sin un inventario centralizado, el IAM deficiente es una de las vulnerabilidades más comunes y menos atendidas.
En CiberShield ayudamos a empresas de toda la región a auditar sus identidades digitales, implementar procesos de offboarding seguros y configurar plataformas IAM proporcionales a su tamaño y presupuesto. Si no sabés con certeza a cuántos sistemas tiene acceso un empleado hoy, ese es el punto de partida. Escribinos y empezamos por ahí.