Cómo administrar las aplicaciones cloud y los accesos de tu empresa
Administrar las aplicaciones cloud de tu empresa consiste en tener respondidas cuatro preguntas en todo momento: qué aplicaciones usáis, quién entra en cada una, qué datos guarda cada una y quién responde cuando falla. Si no puedes contestarlas hoy, no tienes un problema de herramientas: tienes un problema de gobierno. Y suele salir a la luz el día que se va un empleado, sube una factura o alguien pide una copia de seguridad que nadie sabe dónde está.
Por qué se descontrola el parque de aplicaciones
Las aplicaciones cloud se contratan con una tarjeta y un correo. Esa facilidad es su virtud y su problema: cada departamento resuelve su necesidad sin pasar por nadie. Marketing contrata una herramienta de campañas, producción una de partes de trabajo, administración otra de firma electrónica. Al cabo de dos años tienes veinte servicios activos y ningún sitio donde estén apuntados.
Eso tiene un nombre, shadow IT, y se traduce en cosas muy concretas: datos de clientes en servicios que nadie ha revisado, suscripciones que se renuevan solas, cuentas a nombre del correo personal de alguien que ya no trabaja aquí y contraseñas compartidas por WhatsApp. No hace falta una brecha de seguridad para que duela: basta con que la persona que contrató la herramienta se vaya de la empresa.
Empieza por el inventario: la hoja que lo arregla casi todo
No necesitas comprar nada para empezar. Necesitas una tabla. Sácala de tres fuentes que ya tienes: los cargos de la cuenta bancaria y las tarjetas de los últimos doce meses, la bandeja de entrada de administración buscando «factura» y «suscripción», y una ronda de preguntas a cada responsable de área.
Por cada aplicación, anota:
| Campo | Por qué importa |
|---|---|
| Nombre y para qué se usa | Detecta duplicidades: dos herramientas para lo mismo |
| Responsable interno | Una persona con nombre, no «informática» |
| Titular de la cuenta | Debe ser un correo de empresa, nunca personal |
| Usuarios con acceso | Base para las revisiones periódicas |
| Datos que guarda | Marca cuáles contienen datos personales de clientes o empleados |
| Coste y fecha de renovación | Evita renovaciones automáticas que ya no usas |
| Criticidad | Si cae, ¿paras la operación o no pasa nada? |
Esta tabla es el documento de trabajo del resto del artículo. Mantenerla viva vale más que cualquier herramienta de gestión.
Altas y bajas: el proceso que evita los sustos
El momento en que una empresa descubre que no controla sus aplicaciones es cuando alguien se marcha. Si la baja se gestiona a mano y por memoria, siempre queda algo abierto.
Escribe dos listas de comprobación y conviértelas en rutina:
- Alta. Qué aplicaciones necesita el puesto, con qué nivel de permiso, quién lo autoriza y quién lo ejecuta. Que el perfil venga definido por el puesto y no por «dale lo mismo que a su compañero», que es como se propagan los permisos de administrador.
- Baja. Revocar el acceso en todas las aplicaciones del inventario el mismo día de la salida, cambiar las contraseñas de cuentas compartidas que esa persona conocía, transferir la propiedad de documentos y automatizaciones a su responsable, y retirar el acceso al correo y a los dispositivos.
El punto que más se olvida es el tercero: las automatizaciones, informes programados y integraciones creadas con la cuenta personal de alguien dejan de funcionar cuando esa cuenta se desactiva. Antes de cerrar una cuenta, comprueba qué depende de ella.
Menos contraseñas y mejores: SSO, MFA y gestor
La forma más eficaz de administrar accesos es reducir el número de puertas. Tres medidas, en orden de impacto:
- Inicio de sesión único (SSO). Si tus aplicaciones principales se pueden conectar al directorio corporativo, el alta y la baja se hacen en un solo sitio. Desactivas la cuenta central y se cierran todas las puertas a la vez. Muchas aplicaciones ofrecen esta función solo en sus planes superiores; merece la pena valorarlo para las críticas.
- Doble factor (MFA) obligatorio. Al menos en correo, banca, gestión y cualquier herramienta con datos de clientes. Una contraseña robada deja de ser suficiente para entrar.
- Gestor de contraseñas de empresa. Para lo que no admite SSO. Permite compartir credenciales sin enviarlas por chat y retirar el acceso de golpe cuando alguien sale.
Y una regla que ahorra disgustos: ninguna cuenta crítica a nombre de una persona física. El dominio, el hosting, la cuenta de facturación y las tiendas de aplicaciones deben estar a nombre de la empresa, con un correo genérico que sobreviva a cualquier cambio de plantilla.
Permisos: el mínimo imprescindible, revisado cada trimestre
El criterio es el de mínimo privilegio: cada persona accede solo a lo que necesita para su trabajo. En la práctica se incumple por comodidad, porque dar permisos de administrador resuelve la incidencia del momento.
Monta una revisión trimestral que no ocupe más de una hora. Coge el inventario, exporta la lista de usuarios de cada aplicación y compárala con la plantilla actual. Busca tres cosas: cuentas de personas que ya no están, usuarios con permisos de administrador que no los necesitan y cuentas de proveedores externos de proyectos ya terminados. Documenta la revisión con fecha; si algún día tienes que demostrar diligencia, esa hoja vale oro.
Datos, copias y contratos: lo que el proveedor no hace por ti
Aquí está el malentendido más caro del cloud. Los proveedores trabajan con un modelo de responsabilidad compartida: ellos responden de la seguridad de la infraestructura, y tú de la configuración, de los accesos y, en muchos casos, de tus propios datos. Que tu información esté en la nube no significa que exista una copia de seguridad recuperable a tu gusto.
Comprueba, para cada aplicación crítica:
- Exportación. ¿Puedes sacar tus datos en un formato usable? Haz la prueba una vez al año, no lo des por hecho.
- Retención. Cuánto tiempo conserva el proveedor lo que borras y si puedes recuperar una versión anterior.
- Ubicación de los datos. Dónde se almacenan y qué garantías hay si salen del Espacio Económico Europeo.
- Contrato de encargado del tratamiento. Si la aplicación trata datos personales por cuenta de tu empresa, el artículo 28 del RGPD exige un contrato con ese contenido. Casi todos los proveedores lo publican; tienes que aceptarlo y guardarlo.
Añade al inventario una columna con el enlace a ese contrato y la fecha en que lo aceptaste. Es de las primeras cosas que se piden en una auditoría.
Cuándo dejar de sumar aplicaciones y montar la tuya
Llega un punto en que el problema no se arregla administrando mejor. La señal es reconocible: tres o cuatro herramientas que no se hablan entre sí, gente copiando datos de una a otra a mano, informes que hay que montar en una hoja de cálculo cada lunes y un coste por usuario que sube cada vez que contratas a alguien.
Cuando el proceso que sostiene tu negocio vive repartido entre aplicaciones genéricas y hojas de cálculo, integrarlas o sustituirlas por una aplicación a medida deja de ser un capricho técnico. No se trata de rehacerlo todo: normalmente basta con conectar por API lo que ya funciona y construir a medida solo la pieza específica de tu operativa, esa para la que no existe un producto que encaje.
Tu plan para las próximas dos semanas
Administrar el cloud no va de comprar una herramienta más: va de tener un inventario vivo, un titular con nombre para cada aplicación, altas y bajas escritas, doble factor donde importa y una revisión trimestral de accesos. Con eso reduces a la vez el riesgo de seguridad, el gasto invisible en suscripciones y la dependencia de que una persona concreta se acuerde de las cosas.
Empieza esta semana por el inventario a partir de los cargos bancarios, y la siguiente por la lista de comprobación de bajas. Si al terminar ves que el problema real es que tus aplicaciones no se hablan entre sí, en Tangram Consulting analizamos ese mapa y te decimos qué conviene integrar, qué sustituir y qué construir a medida. Enséñanos tu lista de aplicaciones y le ponemos orden contigo.