Por qué el control de accesos es “protección de datos” en la práctica
En muchas pymes, las brechas no empiezan con un ataque sofisticado: empiezan con un acceso mal gestionado. Cuentas compartidas (“admin”, “contabilidad”, “ventas”), permisos heredados, usuarios que ya no trabajan en la empresa pero siguen activos, o proveedores con acceso permanente sin límites. Desde el RGPD, esto no es solo un problema de TI: es un fallo de cumplimiento. El responsable del tratamiento debe garantizar la integridad y confidencialidad de los datos personales (art. 5.1.f RGPD) y aplicar medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD). Si no puedes demostrar que controlas quién accede a qué datos y por qué, tu cumplimiento es frágil.
La gestión de identidad y accesos (IAM) es el conjunto de políticas, procesos y controles que determinan quién puede acceder, a qué, en qué condiciones, y con qué nivel de privilegio. Es el punto donde se cruzan seguridad y privacidad: sin IAM, el acceso a datos personales se convierte en un hábito informal; con IAM, se convierte en un proceso gobernable y auditable.
Beneficios de una IAM bien diseñada (y realista para pymes)
Un IAM bien planteado reduce el riesgo de acceso no autorizado y, además, hace la empresa más operativa:
- Reducción real de brechas: menos permisos, menos cuentas genéricas y más autenticación robusta disminuyen la probabilidad de uso indebido o filtración.
- Trazabilidad útil: con cuentas nominativas, una incidencia se investiga con evidencias (quién accedió, cuándo, desde dónde, qué cambió).
- Continuidad del negocio: cuando alguien se va o cambia de puesto, la revocación y reasignación es un proceso, no una improvisación.
- Mejor gestión de proveedores: accesos temporales, nominativos y controlados reducen “puertas abiertas” permanentes.
- Cumplimiento más fácil: atender derechos y responder incidentes es mucho más rápido si el acceso está ordenado.
Riesgos típicos (privacidad y vulnerabilidad)
Riesgos de privacidad
- Permisos excesivos: si “todos ven todo”, se vulnera la minimización (art. 5.1.c RGPD) aplicada al acceso. Minimizar datos también implica minimizar accesos.
- Cuentas compartidas: impiden trazabilidad y hacen imposible atribuir responsabilidades.
- Acceso sin finalidad: se conceden permisos “por si acaso”, sin justificar necesidad.
- Uso de logs como vigilancia: registrar toda actividad personal sin límites puede convertirse en un tratamiento desproporcionado.
Riesgos de seguridad
- Cuentas huérfanas: usuarios antiguos activos son un vector clásico de incidente.
- Administradores “por comodidad”: privilegios elevados aumentan el impacto de una credencial comprometida.
- Acceso remoto inseguro: sin MFA o con credenciales débiles, el riesgo se dispara.
- Proveedor con cuenta genérica: soporte sin identificación nominativa y sin caducidad.
RGPD aplicado a IAM: lo que se exige de verdad
El art. 32 RGPD obliga a implementar medidas adecuadas al riesgo, teniendo en cuenta el estado de la técnica, costes, naturaleza y finalidad del tratamiento y riesgos para derechos y libertades. En IAM, esto suele traducirse en:
- Cuentas nominativas en sistemas donde se tratan datos personales (evitar genéricas y compartidas).
- Mínimo privilegio: accesos limitados a lo necesario por función.
- Segregación de funciones: evitar que una sola cuenta pueda “hacerlo todo” (por ejemplo, exportar datos masivos y borrar trazas).
- Gestión de altas/bajas/cambios con plazos y responsables.
- Autenticación reforzada (por ejemplo, MFA) en accesos críticos: correo, cloud, CRM, paneles de administración, escritorios remotos.
- Revisión periódica de permisos: para evitar acumulación de privilegios con el tiempo.
- Registro de eventos relevantes (sin convertirlo en vigilancia general).
Además, el principio de integridad y confidencialidad (art. 5.1.f) exige proteger credenciales, prevenir accesos no autorizados y evitar que los datos personales queden expuestos por falta de control.
El dilema seguridad–privacidad: trazabilidad sí, vigilancia no
Una pyme necesita trazabilidad para investigar incidentes y demostrar diligencia. Pero trazabilidad no significa “vigilar a las personas”. La proporcionalidad se logra enfocando registros en eventos de seguridad (p. ej., intentos fallidos, elevación de privilegios, exportaciones masivas, accesos fuera de patrón, cambios de permisos) y limitando:
- quién accede a esos registros,
- cuánto tiempo se conservan,
- para qué se usan (finalidad estricta de seguridad e investigación).
Si los logs se usan para control disciplinario generalizado o perfilado del comportamiento laboral sin límites, el tratamiento puede volverse intrusivo y elevar el riesgo para derechos, y exigir un análisis reforzado de proporcionalidad.
¿Es obligatoria una EIPD?
No siempre. La IAM suele ser una medida de seguridad, no un tratamiento “de alto riesgo” por sí misma. Sin embargo, si la implantación incluye monitorización sistemática intensa de la actividad individual, o se combina con decisiones relevantes sobre personas, puede ser necesario valorar si el conjunto de tratamiento implica alto riesgo y requiere EIPD (art. 35 RGPD) o, como mínimo, una evaluación documentada de necesidad y proporcionalidad.
Medidas de proporcionalidad recomendables (muy aplicables)
- Eliminar cuentas compartidas salvo excepción documentada y controlada.
- Definir roles por función (comercial, soporte, administración, dirección) y asignar permisos mínimos.
- Procedimiento formal de alta/baja/cambio de rol con plazos.
- MFA obligatoria en sistemas críticos y accesos remotos.
- Revisión periódica (trimestral/semestral) de permisos en sistemas con datos personales.
- Proveedores: cuentas nominativas, caducidad, MFA y registro de intervención.
- Plan de actuación ante sospecha de credenciales comprometidas (revocar, rotar, revisar).
Límites de la información
Este enfoque es general. En entornos con datos sensibles, alta rotación, múltiples sedes o monitorización avanzada, conviene ajustar el modelo con asesoramiento jurídico y técnico específico para garantizar proporcionalidad y garantías.
