La mayoría de las brechas de seguridad no empiezan con un ataque sofisticado, sino con una contraseña débil, reutilizada o robada. Antes de invertir en herramientas complejas, toda empresa —sea cual sea su tamaño— debería asegurar lo más básico: quién puede acceder a qué, con qué credenciales y bajo qué controles. Esa es, literalmente, la primera barrera de seguridad, y el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) la convierten, además, en una obligación legal.
Este artículo repasa, con fundamento jurídico y lenguaje accesible, cómo gestionar contraseñas, autenticación multifactor y control de accesos de forma que cumplan la normativa española y europea, sin caer en soluciones desproporcionadas que comprometan la privacidad de las personas.
Por qué el control de accesos es la primera barrera de seguridad
El control de accesos determina quién puede ver, modificar o eliminar los datos de una empresa. Una gestión deficiente —contraseñas compartidas, cuentas de antiguos empleados activas, accesos sin revisar— multiplica el riesgo de que un solo error humano o una sola credencial filtrada comprometan la totalidad de los sistemas.
Marco normativo: RGPD, LOPDGDD y otras normas aplicables
El artículo 32 RGPD exige expresamente la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, así como la de restaurar el acceso a los datos de forma rápida en caso de incidente. La gestión de contraseñas y el control de accesos son, precisamente, las medidas técnicas y organizativas mínimas para cumplir con esta exigencia.
La LOPDGDD refuerza el régimen sancionador (artículos 70 a 77) y, cuando el control de accesos afecta a dispositivos o cuentas de trabajo, entran en juego los derechos digitales de los trabajadores reconocidos en el artículo 87 y siguientes. Para entidades que prestan servicios a la administración pública resulta también de aplicación el Esquema Nacional de Seguridad (ENS), que dedica medidas específicas al control de acceso. Y, según el sector, puede aplicar la normativa derivada de la Directiva NIS2, en proceso de transposición en España, que refuerza la gestión de identidades y accesos para determinadas entidades esenciales e importantes.
Bases de legitimación en el control de accesos
El registro de accesos y la gestión de credenciales se amparan, con carácter general, en el artículo 6.1.c RGPD (cumplimiento de la obligación legal de seguridad del artículo 32) y en el artículo 6.1.f (interés legítimo del responsable en proteger sus sistemas). La situación cambia cuando se utilizan datos biométricos —huella dactilar, reconocimiento facial— para el control de accesos: al tratarse de una categoría especial de datos (artículo 9 RGPD), es necesario contar con una base específica, habitualmente el consentimiento explícito del trabajador o una excepción del artículo 9.2, y valorar con especial cuidado si existen alternativas menos invasivas, como una tarjeta o un código, igualmente eficaces.
¿Es obligatoria una evaluación de impacto (EIPD) en este ámbito?
Implantar una política de contraseñas robustas o un sistema de doble factor de autenticación no exige, con carácter general, una EIPD conforme al artículo 35 RGPD. La situación es distinta cuando se plantea un control de accesos biométrico: al combinar una categoría especial de datos con el uso de nuevas tecnologías, suele encajar en los supuestos que, según los criterios del artículo 35.3 RGPD y las listas orientativas de la AEPD, requieren una EIPD previa. Esa evaluación debe valorar, en particular, si el uso de datos biométricos resulta necesario y proporcionado frente a alternativas no biométricas igualmente eficaces.
Contraseñas seguras: la primera línea de defensa
- Longitud mínima recomendable de doce caracteres, combinando mayúsculas, minúsculas, números y símbolos.
- Ninguna contraseña debe reutilizarse entre distintos servicios o cuentas.
- El uso de un gestor de contraseñas facilita cumplir lo anterior sin depender de la memoria.
- Evitar patrones predecibles: nombres, fechas de nacimiento o secuencias evidentes.
- Cambiar la contraseña de inmediato ante cualquier sospecha de compromiso, más allá de una renovación periódica automática sin motivo, que las guías técnicas actuales consideran de escaso valor si la contraseña es suficientemente robusta desde el origen.
Doble factor de autenticación (MFA): por qué ya no es opcional
El doble factor de autenticación añade una segunda verificación —una aplicación, un código temporal o una llave física— que impide el acceso aunque la contraseña haya quedado expuesta. Es, hoy, la medida con mejor relación entre coste de implantación y reducción del riesgo, y debería aplicarse como mínimo a correo corporativo, accesos remotos y sistemas que traten datos personales.
Control de accesos: el principio de mínimo privilegio
- Cada persona debe acceder únicamente a los datos y sistemas necesarios para su función, ni más ni menos.
- Revocar de inmediato los accesos al finalizar una relación laboral o un contrato con un proveedor.
- Revisar periódicamente los permisos concedidos, eliminando los que ya no se justifican.
- Separar funciones críticas entre distintas personas, evitando que una sola concentre demasiado control.
Beneficios y riesgos de estas medidas
Los beneficios son claros: menor probabilidad de sufrir un acceso no autorizado, cumplimiento del deber de seguridad del RGPD y una respuesta más rápida ante un incidente. El riesgo a vigilar es de otro tipo: los sistemas de control de accesos que registran cada inicio de sesión pueden derivar en una monitorización excesiva de la actividad de los empleados si no se limitan a su finalidad de seguridad, y el uso de datos biométricos, en particular, exige una justificación reforzada por tratarse de una categoría especial de datos con un impacto mayor sobre la privacidad si se filtran, ya que a diferencia de una contraseña, una huella dactilar no se puede cambiar.
Proporcionalidad: adaptar las medidas al tamaño y al riesgo real
El artículo 24 RGPD exige que las medidas sean proporcionadas al riesgo real del tratamiento y al tamaño de la organización. Una pyme no necesita, en la mayoría de los casos, un sistema de control de accesos biométrico; con una política de contraseñas robustas, doble factor de autenticación y una revisión periódica de permisos suele ser suficiente y proporcionado. Optar por soluciones más invasivas de lo necesario también constituye un riesgo, en este caso de cumplimiento normativo.
Contraseñas fuertes, doble factor y un control de accesos bien gestionado no son medidas opcionales: son la primera barrera de seguridad y, a la vez, una obligación legal para cualquier empresa que trate datos personales. En SIPY ayudamos a implantar estas medidas de forma proporcionada, documentada y respetuosa con la privacidad de las personas. Si quieres revisar cómo gestiona tu empresa los accesos, hablemos.
#Ciberseguridad #RGPD #LOPDGDD #ProtecciónDeDatos #ControlDeAccesos #sipylopd #SIPY
