¿Sabrías decir ahora mismo quién tiene acceso a tu programa de facturación? ¿Y a la carpeta con los contratos de los clientes? ¿Y a las redes sociales de la empresa? Si la respuesta es "creo que los de siempre", no estás solo: en la mayoría de pymes, los accesos se dan con prisa cuando hacen falta y casi nunca se quitan cuando dejan de hacer falta. Un colaborador externo que terminó su proyecto, un becario del verano pasado, el gestor anterior, una cuenta de prueba de una herramienta que ya no usas.
Las empresas grandes tienen una costumbre que a ti te puede ahorrar más de un susto: revisan periódicamente quién tiene acceso a qué. No esperan a que ocurra un problema. Cada cierto tiempo, una persona responsable de cada sistema comprueba la lista de usuarios y confirma quién debe seguir. Con un agente de IA (un programa que hace tareas de trabajo por ti y te consulta lo importante) puedes hacer una versión sencilla de esa revisión sin pasar una tarde entera comparando pantallas.
Cómo se acumulan las cuentas que sobran
Casi nadie crea una cuenta sobrante a propósito. Se va acumulando por situaciones cotidianas:
- Altas rápidas. Alguien necesita acceder a algo hoy y se le da acceso. Nadie apunta cuándo debería terminar.
- Colaboradores externos. Una agencia, un autónomo o un proveedor trabajan un tiempo con tus herramientas, y cuando termina el proyecto la cuenta sigue ahí.
- Cambios de puesto. Una persona pasa de un área a otra y conserva los accesos de la anterior, además de los nuevos.
- Cuentas compartidas. Un usuario genérico que usan varios, sin saber ya quién lo conoce.
- Pruebas olvidadas. Herramientas que probaste, con una cuenta creada y con datos dentro, y que nunca diste de baja.
Cada cuenta de más es una puerta abierta que nadie vigila, y detrás puede haber datos de clientes, de personal o de la propia empresa.
La revisión de accesos de una gran empresa
El método de las grandes no es complicado:
- Hay una lista de personas que deben tener acceso, normalmente la de quienes trabajan en la empresa en ese momento.
- Se obtiene la lista de usuarios de cada herramienta importante.
- Se comparan las dos listas y se señalan las diferencias: quién tiene acceso y no debería, quién tiene más permisos de los que necesita.
- El responsable de cada herramienta decide qué se mantiene y qué se cierra, y deja constancia.
- Se repite con un ritmo fijo, por ejemplo cada trimestre o cada semestre.
Lo que más tiempo lleva es el paso tres: comparar listas de sitios distintos, con nombres, correos y formatos que no coinciden. Y ahí es donde el agente ayuda de verdad.
Cuatro tipos de cuenta que suelen sobrar
Cuando hagas la primera revisión, busca sobre todo estos casos:
- Personas que ya no están en la empresa. Las más delicadas. Conviene que no haya ninguna, y si las hay, merece la pena entender por qué se escaparon del procedimiento de baja.
- Externos cuyo trabajo terminó. Agencias, freelances o consultores con acceso a carpetas, herramientas o cuentas de publicidad.
- Cuentas genéricas o compartidas. Sirven para todo y no pertenecen a nadie: no se sabe quién las usa ni a quién avisar si hay un problema.
- Cuentas de prueba o de herramientas en desuso. Suelen ser las más olvidadas y, a veces, conservan datos reales.
Hay un quinto caso que no es una cuenta sobrante sino una cuenta con demasiado poder: personas que siguen activas pero tienen permisos de administrador o de edición que ya no necesitan.
Cómo compara el agente las listas
El trabajo del agente consiste en dejarte delante una lista corta y clara en lugar de una montaña de datos:
- Toma la lista de personas activas (la que tú o quien lleve personal mantengáis).
- Toma las listas de usuarios de cada herramienta, exportadas o consultadas con permisos de solo lectura.
- Las cruza, aunque los nombres y correos no coincidan del todo: un correo personal frente a uno de empresa, un nombre abreviado, una persona con dos cuentas.
- Señala lo que no encaja: cuentas de personas que ya no están, cuentas sin actividad reciente, usuarios duplicados, permisos altos que llaman la atención.
- Te presenta el resultado por herramienta y por prioridad, con el motivo de cada aviso, para que puedas decidir rápido.
- Guarda el resultado de cada revisión, de manera que puedas comparar la siguiente con la anterior.
Quién decide y quién ejecuta
Este reparto es la parte más importante:
- El agente solo señala. Conviene que tenga acceso de lectura y nada más. No debe cerrar cuentas ni cambiar permisos por su cuenta.
- Una persona de confianza decide qué cuentas sobran. A veces lo que parece sobrante no lo es: el autónomo que colabora dos veces al año, una cuenta técnica de la que depende una conexión entre programas, el asesor que necesita entrar en plazos concretos.
- Esa misma persona, o un técnico de confianza, ejecuta las bajas y deja constancia de ellas. Si algo se cierra por error, se puede reabrir; por eso conviene avisar antes a la persona afectada cuando haya duda.
- Las decisiones sobre personas (quién sigue o no en un proyecto, qué permisos merece alguien) no se delegan al agente. Él prepara la información; una persona la valora.
Un ritmo realista
Una revisión no tiene por qué ser un proyecto. Un plan sencillo:
- Primera vez: elige las tres o cuatro herramientas más delicadas (facturación, almacenamiento de documentos, correo, redes y publicidad) y revísalas con el agente.
- Después de cada baja o cambio de proyecto: comprueba los accesos de esa persona, como vimos en la lista de accesos que hay que cerrar el día de una baja.
- Cada trimestre o semestre: repite la comparación. Con una lista ya limpia, cada revisión lleva poco tiempo.
- Guarda un registro de lo que se ha revisado, cuándo y quién lo ha decidido.
El objetivo no es una lista perfecta, sino que las cuentas sobrantes no se acumulen durante años.
Qué cuidar
- La lista de personas es un dato personal. Contiene nombres, correos y, a veces, puestos. Que solo puedan verla quienes deben, y que el agente trabaje con lo estrictamente necesario.
- Permisos de solo lectura. Dar al agente capacidad de modificar cuentas multiplica el riesgo de un error. Mejor que prepare y que una persona ejecute.
- Falsos avisos. Un nombre mal escrito puede hacer que una cuenta legítima parezca sobrante. Revisa cada aviso antes de actuar.
- Constancia. Anota qué se revisó y qué se decidió. Si algún día te preguntan por quién tenía acceso a qué, tendrás una respuesta.
- Seguridad más amplia. Esta revisión es una parte de la seguridad de la empresa, no toda. Si quieres ver el conjunto, tienes una guía sobre cómo planificar la ciberseguridad de una pyme y otra sobre la gestión de contraseñas y accesos con IA.
Conclusión
Las cuentas olvidadas se acumulan sin que nadie lo decida, y cada una es un acceso que alguien debería haber cerrado. Las grandes empresas revisan periódicamente quién puede entrar en qué; una pyme puede hacerlo con un agente que compare la lista de personas activas con las cuentas de cada herramienta y señale las que sobran, mientras una persona de confianza decide y ejecuta las bajas.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.